直接答案：云服务器端口不通时，先记录客户端看到的是“超时”还是“连接被拒绝”，再沿请求路径检查：域名/IP → 公网路由或 NAT → 云安全组/网络 ACL → 系统防火墙 → 进程监听地址 → 容器或反向代理 → 应用协议。只有找到第一处不一致，才能判断该放行哪一层。把 0.0.0.0/0 的所有端口全部开放既不能证明应用正常，也会扩大攻击面。
端口排查必须写清 TCP 还是 UDP。很多测试工具默认只测 TCP；UDP 无连接，未收到响应不等于端口关闭。数据库、管理面板和 SSH 还应限制来源地址，不应为了“先通再说”永久暴露给全网。
先按报错分流
| 客户端现象 | 更可能的方向 | 仍需验证 |
|---|---|---|
| 连接超时 | 路由、安全组、防火墙静默丢弃、目标错误 | 服务端是否收到 SYN |
| Connection refused | 目标可达但无进程监听，或防火墙主动拒绝 | 监听地址、端口、进程状态 |
| 连接后立即断开 | 协议不匹配、应用拒绝、TLS/SNI、访问控制 | 应用和代理日志 |
| 本机能连、公网不能 | 只监听回环地址、入口规则、NAT/端口映射 | ss 输出与公网入口 |
| 部分来源能连 | 来源白名单、运营商、IPv4/IPv6、WAF | 失败来源与成功来源对照 |
不要把浏览器显示的 HTTP 403、404、502 说成“端口不通”。能收到 HTTP 状态码说明 TCP/TLS 通常已经建立，问题已进入 Web 或应用层。可结合服务器 502 和 504 排查清单继续判断。
一条 TCP 连接经过哪些控制点
客户端发出 SYN 后，可能依次经过本地防火墙、运营商、CDN/负载均衡、公网 IP、云安全组、网络 ACL、系统防火墙、NAT、容器端口映射，最后到监听进程。任何一层目标端口、协议、来源或地址族不一致，都会失败。
| 控制层 | 关键问题 | 常见证据 |
|---|---|---|
| DNS/目标 | 域名是否指向这台机器 | A、AAAA、CNAME 与公网 IP |
| 云网络 | 入站协议、端口、来源是否允许 | 安全组生效对象、优先级、网络 ACL |
| 操作系统 | nftables/iptables/firewalld/Windows Firewall 是否拦截 | 规则计数器与日志 |
| 监听进程 | 是否监听正确 IP、端口和地址族 | ss -lntup、服务状态 |
| 容器/NAT | 主机端口是否映射到正确容器端口 | 容器发布端口、NAT 表 |
| 应用协议 | 客户端协议是否与服务一致 | TLS 握手、应用日志 |
服务器内部怎样检查
先在服务器执行 ss -lntup，核对端口、协议、进程和监听地址。127.0.0.1:8080 只接受本机连接；0.0.0.0:8080 表示所有 IPv4 地址；[::]:8080 是否同时接受 IPv4 取决于系统设置。不要只搜索端口号而忽略地址族。
随后从本机连接监听地址，并用应用实际协议测试。HTTP 服务要带正确 Host；HTTPS 要带 SNI；数据库客户端要验证握手和认证。若本机都无法连接，先处理进程、配置和依赖，云安全组不是根因。
服务由 systemd 管理时，检查服务状态和同一时间的 journal。配置变更前先保存上一版并使用服务自己的校验命令。进程未启动可能源于端口冲突、配置错误、权限、证书、磁盘满或依赖失败，不能只反复 restart。
安全组与系统防火墙如何对齐
安全组通常位于云网络入口，系统防火墙位于实例内。两者是串联关系：任意一层拒绝都会不通。排查时列出“协议、源 CIDR、目标端口、地址族、方向、优先级”六项，避免出现安全组放行 IPv4、客户端却走 IPv6，或只改了出站规则的情况。
建议采用最小放行：
- 80/443 可按业务面向范围开放；
- SSH/RDP 优先限制到办公出口、VPN 或堡垒机；
- MySQL、Redis 等只允许应用私网或指定管理源；
- 管理面板使用来源白名单和强认证，不以改端口替代访问控制；
- 临时诊断规则注明到期时间，验收后删除。
Linux 使用 nftables、firewalld 或发行版封装工具时，应确认实际后端，不要同时用多套工具反复写冲突规则。修改远程管理端口前保持现有 SSH 会话和控制台入口，先添加新规则并测试，再移除旧规则。
容器端口为什么最容易误判
容器内应用监听 8080，不代表主机公网 8080 已发布。还要检查主机端口映射、容器网络、应用是否只监听容器回环、反向代理上游地址和容器重建后 IP 变化。不要直接依赖临时容器 IP，生产环境应使用稳定的服务名或编排网络。
如果主机端口已被另一个进程占用，容器可能启动失败或映射到不同端口。用容器状态、端口发布结果和启动日志三者共同判断。Docker 与云服务器的边界可参考Docker 容器和云服务器的区别。
用抓包确认数据包停在哪里
当配置看似一致时，可在服务端对目标端口做短时、限范围抓包：
- 看不到客户端 SYN：问题在服务器之前，或测试目标错误；
- 收到 SYN 但无 SYN-ACK：检查本机防火墙、监听和内核路径；
- 完成握手后立即 RST/FIN：转查应用协议和访问控制；
- TLS ClientHello 后失败：转查证书、SNI 和协议版本。
抓包可能包含 IP、域名和应用数据，应限制接口、端口和时间，保存到受控位置，完成后及时清理。不要无过滤地长期抓取生产流量。
变更、回滚与验收
每次只改一个控制层，记录旧规则和新规则。验收至少从允许来源和不允许来源各测一次，确认 IPv4/IPv6、TCP/UDP、TLS/应用握手与日志一致。管理端口必须验证“正确来源可连、其他来源仍被拒绝”，不能只验证可连。
如果因网络架构需要更换实例，可结合Linux 安全加固清单和低停机迁移指南。需要测试新资源时，可查看美国轻量云与美国弹性云服务器的实时配置。
常见问题
安全组已经放行，为什么端口仍不通？
安全组只是其中一层。应用可能未启动、只监听回环、系统防火墙拦截、容器未发布端口，或域名指向了另一台机器。
telnet 不通能说明 UDP 端口关闭吗？
不能。telnet 测试 TCP，UDP 需要使用对应协议客户端、服务端日志或抓包判断。
临时开放所有端口可以定位问题吗？
风险很高，而且即使恢复也无法知道是哪条规则起作用。应按路径逐层测试，使用最小、限来源、可回滚的临时规则。
端口通但浏览器仍报错怎么办？
说明已经进入 TLS、HTTP 或应用层。检查证书、Host、状态码、反向代理和上游日志。
改 SSH 端口能阻止攻击吗？
只能减少一部分扫描噪声，不能替代密钥认证、来源限制、禁用高风险登录和日志告警。