telnet 连上仅表示 tcp 三次握手成功，并不保证端口真正可用或业务正常；它无法区分防火墙静默丢包与服务未监听，且退出码语义模糊，易误判。
telnet 能连上就代表端口通？别太信
telnet 最直观，但只适合测试 TCP 端口，且依赖客户端是否安装 telnet（很多现代 Linux 发行版默认不装）。它本质是发起一个 TCP 连接，如果成功建立三次握手，就显示空白或欢迎信息；失败则报错如 Connection refused 或 Unable to connect to remote host。
常见误判点：
-
Connection refused：目标主机收到了请求，但该端口没服务在监听（比如服务没启、bind 了 127.0.0.1） -
Network is unreachable或超时：中间网络不通、防火墙丢包、目标主机宕机，或目标端口被 iptables/nftables DROP（而非 REJECT） - 连上后立刻断开：可能是服务主动关闭连接（如某些 HTTP 服务不支持裸 telnet），不代表端口不通
实操建议：
- 用
telnet example.com 80测试 Web 端口，输入GET / HTTP/1.0回车可进一步验证 HTTP 服务响应 - 避免在脚本中依赖
telnet的退出码——它在超时时可能返回 1，但连接拒绝也返回 1，无法区分原因
nc（netcat）比 telnet 更可靠，但默认行为要留意
nc 是更通用的网络调试工具，支持 TCP/UDP，退出码语义清晰，适合自动化判断。注意不同版本（OpenBSD nc vs GNU netcat）参数差异大，推荐用 nc -zv 模式。
关键参数含义：
-
-z：Zero-I/O 模式，只扫描不传数据（必须加，否则会卡住等待输入） -
-v：显示详细结果（如Connection to example.com 22 port [tcp/ssh] succeeded!） -
-w 3：设置超时为 3 秒（强烈建议加，否则默认可能等很久）
实操示例：
nc -zv -w 3 example.com 443
输出成功时退出码为 0，失败为 1 —— 可直接用于 shell 判断：if nc -z -w 2 example.com 22; then echo "SSH up"; fi
注意坑：
- 某些系统（如 CentOS 7）默认装的是
nmap-ncat，-z参数可用；但 Ubuntu 的netcat-traditional需用-G（timeout）而非-w，行为不一致 - UDP 测试（
nc -uzv）不可靠：UDP 无连接，nc只发一个空包，收不到 ICMP “port unreachable” 就算“通”，实际服务可能根本没起来
nmap 扫描结果最准，但别拿来日常连通性检查
nmap 是专业端口扫描器，能识别服务版本、OS 指纹、防火墙策略，对“端口是否开放”的判断逻辑最严谨（比如区分 open、filtered、closed）。但它启动重、依赖 root 权限（某些探测需 raw socket）、默认扫描慢，不适合简单 ping-like 检查。
日常快速验证用这个命令就够了：
nmap -p 80,443 -T4 --max-retries 1 --host-timeout 5s example.com
关键参数说明：
-
-p：指定端口，支持逗号分隔或范围（如22-25） -
-T4：提速扫描节奏（T5可能被防火墙拦截） -
--max-retries 1和--host-timeout 5s：避免卡死，适合脚本调用
输出解读重点看状态列：
-
open：确认有服务监听并响应 -
filtered：中间有防火墙/ACL 丢包，无法确定服务是否存在 -
closed：主机在线，但该端口没服务（类似 telnet 的Connection refused）
别用 nmap -sP 或 nmap -sn 做 ping 检测：它发的是 ARP/ICMP，和端口通不通无关。
真正上线前该检查什么
单靠一个工具确认“端口通”远远不够。真实环境里，nc 返回 0 只代表 TCP 握手成功，不等于业务可用。比如：
- SSL/TLS 握手失败（443 端口 open，但浏览器提示 NET::ERR_CERT_INVALID）
- HTTP 服务返回 502/503（Nginx 转发到下游挂了）
- 数据库端口通，但认证失败或连接池满
所以生产环境建议分层验证：
- 底层：用
nc -z -w 2 host port确认 TCP 层可达 - 协议层：用
curl -I -k -m 5 https://host:port或openssl s_client -connect host:port验证 TLS/HTTP - 业务层：调用真实 API 接口，检查响应内容与状态码
最容易被忽略的是超时设置——所有工具不加 -w 或 --timeout，在丢包或防火墙静默丢弃时会卡住几十秒，拖垮监控脚本。
