端口映射失效需逐层排查：先确认服务监听0.0.0.0而非127.0.0.1，再检查防火墙、selinux、路由器映射配置、公网ip真实性及多wan策略匹配。
端口映射在Linux环境下失效，通常不是单一环节出错，而是多个层级叠加导致。排查要从内到外、由近及远，逐层验证是否“通得过、收得到、转得对、跑得起来”。
确认服务本身监听正确
很多问题其实卡在最里层：服务压根没对外暴露。
- 检查服务是否运行：
systemctl status your-service或ps aux | grep your-app - 确认监听地址不是
127.0.0.1（仅限本地）：用ss -tuln | grep :端口号或netstat -tuln | grep :端口号，看到0.0.0.0:8080才表示可被外部访问；若只显示127.0.0.1:8080，需修改应用配置绑定到0.0.0.0 - 验证本机能否连通：
curl http://127.0.0.1:8080或telnet 127.0.0.1 8080，失败说明服务未就绪或端口被占
检查Linux系统防火墙规则
即使服务正常，firewalld 或 iptables 也可能直接丢包。
- 查当前开放端口：
sudo firewall-cmd --list-ports（firewalld）或sudo iptables -L INPUT -n（iptables） - 临时放行测试：
sudo firewall-cmd --add-port=8080/tcp --permanent && sudo firewall-cmd --reload - 注意协议匹配：TCP服务别只开了UDP，反之亦然；HTTP/HTTPS/SSH等默认走TCP，DNS才常用UDP
- SELinux也可能拦截：运行
getenforce查状态，临时禁用测试：sudo setenforce 0
验证路由器端口映射配置
这是外网访问必经的“关卡”，错误最多。
- 登录路由器后台（如
192.168.1.1），核对：内部IP是否为服务器真实局域网IP（建议设为静态IP，避免DHCP变动）；内部端口是否与服务监听端口一致；外部端口是否未被运营商屏蔽（如80、443常被封，可改用8080、8443或9000+） - 协议类型必须匹配：RDP用TCP，VoIP可能需UDP+TCP双开，某些游戏需端口范围（如 27015-27030）
- 关闭DMZ主机功能——它会覆盖所有端口映射规则，二者不可共存
- 多WAN口或双宽带环境，务必检查“源进源出”（Policy-Based Routing）：若服务器流量走A线路出，但外部请求从B线路进，映射必然失败。需在对应线路策略中加入服务器IP
确认公网IP真实可用
没有真实公网IP，一切映射都是空谈。
- 在服务器上执行：
curl ifconfig.me（Linux）或Invoke-RestMethod http://ipinfo.io/ip（Windows PowerShell） - 登录路由器管理页，查看WAN口获取到的IP，两者必须完全一致；若不一致，说明是CGNAT（运营商级NAT），家庭宽带常见，需联系ISP申请公网IP或改用内网穿透工具
- 部分路由器显示“动态IP”但实际是私有地址（如100.64.x.x、10.x.x.x），这类IP无法用于端口映射
