服务端口无法访问时，按监听地址、防火墙和代理排查

🔌 服务端口不通：监听地址、防火墙与代理的排查顺序

“端口不通”可能发生在应用监听、实例防火墙、云网络规则、负载均衡或反向代理的任一环节。按请求路径从实例内部向外验证，并记录每一跳的目标地址和结果，可以将问题定位在具体边界。不要同时改应用绑定和多层规则，否则难以确定哪项变更起效。

🔎 一、从监听套接字确认应用入口

在实例上运行 ss -lntp，核对目标端口是否存在监听者、对应进程是否为预期应用，以及监听地址是否覆盖请求实际到达的网卡。绑定 127.0.0.1 时，只有本机程序能连接；绑定 0.0.0.0 通常覆盖 IPv4 地址，但不自动意味着 IPv6 可访问。还要检查应用自身的允许来源和容器端口映射。

从实例本机用 curl 请求应用，可以验证本地 TCP 与应用协议响应；它不能证明远端路径畅通。若本机连接都失败，先检查应用进程、端口配置和本地监听，不应先调整云侧规则。

🧭 二、逐层检查过滤与路由边界

本机监听正常后，核对主机防火墙是否允许目标协议、端口和来源，再检查云侧入站规则。规则应同时匹配协议、目标端口和实际来源地址；查看规则文本不如从对应来源做连接测试可靠。若启用了出站限制，也要确认回包路径未被阻断。

如果流量经过负载均衡或反向代理，应检查监听器、后端协议和端口、后端健康状态以及健康检查路径。代理可能只允许代理节点来源连接，所以从个人客户端直连实例失败未必代表业务入口故障；反过来，代理返回 502 也可能是上游拒绝或超时，而不是客户端与代理之间的端口不通。

📊 三、用错误阶段区分代理和应用故障

连接超时通常提示路径未获得回应，连接拒绝通常提示目标可达但无服务接受连接或被主动拒绝。代理返回 502、504 表示请求已到达代理，故障焦点转到上游连接或响应耗时；应用返回业务状态码则说明请求已到应用协议层。对照代理日志中的上游地址、连接耗时和错误类型，并从代理节点直连后端测试。

✅ 四、完成端到端验收

分别从实例本机、代理节点和预期客户端验证连接，并检查最终应用响应而非只看 TCP 成功。确认代理健康状态正常、应用日志收到对应请求、非授权来源仍被拒绝。记录每一跳的地址、端口、错误阶段和状态码，作为链路恢复的证据。