防火墙放行了端口还是不通？云安全组与系统防火墙这笔双层账

服务器上架后要对外开一个服务端口，管理员在系统防火墙里规规矩矩加了放行规则，回头一测——还是不通。不少人第一反应是防火墙命令敲错了，翻来覆去重配；真正的原因往往是：今天的端口要过的不止一道门。云服务器前面横着一道云平台的安全组，系统里还有自己的防火墙，两道门串联，少开一道都进不来。把这笔双层账算清楚，端口排障就有了固定套路。

第一层：云安全组，机器外面的大门

云服务器的安全组是平台在宿主网络层做的包过滤，它在进入你那台服务器之前就完成判断——所以哪怕系统防火墙全关，安全组没放行，流量根本到不了机器。收口动作：到云控制台核对安全组的入方向规则，协议（TCP/UDP）、端口、来源地址三项逐一对齐；常见坑有两处，一是规则只放行了某来源 IP 而测试端不在范围内，二是改了规则没保存生效或绑定了别的安全组。判别法很简单：安全组没放行时，从外部 telnet 端口是"连接超时"——请求石沉大海。

第二层：系统防火墙，机器里面的门禁

过了安全组，流量到机器门口，才轮到系统防火墙。这一层的坑更细：Linux 的 firewalld 加规则要分运行态和永久态，只加 runtime 重启即失效，只配 permanent 不 reload 当下不生效；规则加对了还要看顺序，排在拒绝规则之后等于没加。Windows 防火墙则要分入站规则和配置文件域（域/专用/公用网络位不同规则集）。更隐蔽的假放行：防火墙放行了，但服务本身没起或只监听 127.0.0.1——用 netstat 确认端口真的在 0.0.0.0 上监听，才算门里有人的判读位。

中间还有隐形夹层：系统内的安全软件与代理

有些环境里两道门都开了还是不通，就要找夹层：服务器上装的安全软件自带网络过滤，会把"可疑端口"悄悄拦在系统防火墙之外；残留的代理配置让测试流量绕了远路；再往细里说，服务的绑定地址写成了本机回环，防火墙根本无门可开。这三个夹层的共同点是它们不出现在常规检查清单里，所以排障前先把环境里"可能碰网络的软件"数一遍，临时停用对照测试，比对着配置大海捞针快得多。

第三层：四段排查序，把不通钉到具体一层

双层账立起来之后，排障就是固定流程：第一步本机 curl/telnet 自己的端口，验服务活着且监听对；第二步关掉或临时放空系统防火墙再测，验门禁层；第三步到同内网的另一台机器测，绕开安全组验内网路径；第四步从公网测，不通就回控制台查安全组。公网特有的一层别忘了：80/443/25 这类端口部分运营商会做 inbound 管控，换高端口测试就能分辨是平台还是线路问题。四步走完，“不通"总能钉到具体某一层。

端口开不通的排障，本质是把"一道门"的思维升级成"一串门”。贵州诚鑫致达科技给客户部署云上业务时，交付清单里固定附一张端口开通四段核对单，两层放行各留验收记录——此后接手的运维再遇到端口不通，照单走一遍，十分钟内定位，不再整夜翻防火墙配置。

企业存储选型参考｜贵州诚鑫致达

做全闪高性能数据库与虚拟化，群晖机型参考：FS6400 · FS3410 · FS2500。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。