源码安装nginx后外部无法访问，核心原因是系统防火墙未放行监听端口。需三步排查：一、编译时启用必要模块（如--with-http_ssl_module）；二、配置nginx.conf正确监听端口并测试语法；三、按发行版使用firewalld/ufw/iptables放行对应tcp端口，并验证监听与外部可达性。
源码安装 Nginx 后，服务能跑起来 ≠ 外部能访问——端口必须被系统防火墙明确放行。关键在两步：编译时启用所需模块（如 SSL）、安装后配置监听端口，再针对具体 Linux 发行版操作防火墙。
源码编译阶段确认必要模块支持
若需 HTTPS、健康检查或邮件代理等功能，configure 阶段就要加入对应模块，否则后续无法启用相关功能（比如 listen 443 ssl 就会报错）：
- SSL 支持必加：--with-http_ssl_module
- 若用到 TCP/UDP 邮件代理：--with-mail --with-mail_ssl_module
- 常用扩展如 gzip、realip、stub_status 等也建议一并启用
示例命令（以安装到 /usr/local/nginx 为例）：
./configure \ --prefix=/usr/local/nginx \ --with-http_ssl_module \ --with-http_gzip_static_module \ --with-http_stub_status_module \ --with-http_realip_module
执行 make && make install 后，用 nginx -V 检查输出中是否含 --with-http_ssl_module 等字样，确认模块已编译进二进制。
配置 nginx.conf 监听目标端口
修改 /usr/local/nginx/conf/nginx.conf，在 http { } 块内添加或调整 server 块：
- HTTP 服务：直接写 listen 8080;
- HTTPS 服务：必须配证书路径，如 listen 443 ssl; + ssl_certificate 和 ssl_certificate_key
- 多个端口可共存，每个 server 块独立定义
改完务必运行 nginx -t 测试语法，再用 nginx -s reload 生效配置。
按发行版放行对应端口（firewalld / ufw / iptables）
不同系统防火墙工具不同，操作逻辑一致：允许 TCP 入站连接到指定端口，并持久化规则。
-
CentOS/RHEL/Fedora（firewalld）：
firewall-cmd --permanent --add-port=8080/tcp
firewall-cmd --permanent --add-port=443/tcp
firewall-cmd --reload -
Ubuntu/Debian（ufw）：
sudo ufw allow 8080/tcp
sudo ufw allow 443/tcp
sudo ufw reload（如已启用） -
手动管理 iptables（较少见）：
iptables -I INPUT -p tcp --dport 8080 -j ACCEPT
保存规则（如 iptables-save > /etc/sysconfig/iptables）
验证是否生效：firewall-cmd --list-ports 或 sudo ufw status verbose，确认目标端口在列表中。
验证端口监听与外部可达性
别跳过这步——很多问题卡在这：
- 本地监听检查：ss -tuln | grep ':8080' 或 netstat -tuln | grep ':8080'，应看到 LISTEN
- 本地访问测试：curl -I http://127.0.0.1:8080，返回 200 OK 表示 Nginx 响应正常
- 外部访问测试：从另一台机器用浏览器或 curl http://服务器IP:8080，失败则优先排查防火墙或云平台安全组
如果本地通、外部不通，90% 是防火墙或云服务商的安全组没开——系统防火墙只是其中一环。
