端口无法访问不是单一原因造成的，需按层递进排查：从服务本身是否运行、是否监听正确地址端口，到系统防火墙、云平台安全组，再到网络可达性与DNS解析。跳过任一环节都可能误判。
确认服务已启动并监听正确地址
端口没被程序占用或监听，外部自然连不上。
- 用 ss -tuln | grep :端口号 或 netstat -tuln | grep :端口号 查看该端口是否出现在监听列表中
- 若无输出，说明服务未启动或未绑定端口；执行 systemctl status 服务名 检查服务状态，必要时 systemctl start 服务名
- 注意监听地址：若只显示 127.0.0.1:8080，表示仅本机可访问；对外提供服务应为 *:8080 或 0.0.0.0:8080
- 检查服务配置文件（如 Nginx 的 listen、Java 应用的 server.address），确保未强制绑定到 localhost
检查本地防火墙与 SELinux 策略
即使服务在监听，也可能被系统级策略拦截。
- 查看 firewalld 状态：systemctl status firewalld；若 active，再查开放端口：firewall-cmd --list-ports
- 临时放行端口：firewall-cmd --add-port=端口号/tcp --permanent && firewall-cmd --reload
- 若使用 iptables：iptables -L -n | grep 端口号，确认 INPUT 链有 ACCEPT 规则
- SELinux 启用时（getenforce 返回 Enforcing），可能阻止非标准端口；可用 setsebool -P http_port_t 1（以 HTTP 类为例）或临时设为 permissive 排查
验证云平台/路由器安全策略
公有云或家用宽带环境下，外网请求在到达服务器前就可能被拦下。
- 阿里云/腾讯云等控制台中，检查实例绑定的安全组入方向规则，确认目标端口（如 8080）对源 IP（如 0.0.0.0/0）开放
- 注意规则顺序：安全组和 ACL 均按自上而下匹配，上方的 deny 规则会覆盖下方的 allow
- 家用路由器需配置端口映射（虚拟服务器）：外部端口、内部 IP、内部端口、协议（TCP/UDP）四者必须匹配，且内部 IP 应为服务器静态分配的局域网地址
- 确认公网 IP 有效：执行 curl ifconfig.me，比对结果与路由器 WAN 口 IP；若不一致，可能是运营商 CGNAT，无法直接映射端口
测试端口连通性与路径可达性
确认“能连到服务器”不等于“能连到端口”，需分层验证。
- 从外网机器执行：telnet 服务器IP 端口号 或 nc -zv 服务器IP 端口号；连接失败但 ping 通，说明链路层通、端口层不通
- 在服务器本机测试：nc -zv 127.0.0.1 端口号，验证服务是否真正在监听且可本地连接
- 若本地通、外网不通，重点复查防火墙、安全组、端口映射；若本地也不通，回归服务配置与启动流程
- 配合 mtr --report --report-cycles 5 服务器IP 查看路由路径，排除中间节点拦截或丢包
