服务端口不通需分层排查：先用ss -tuln或netstat -tuln确认监听状态及地址（0.0.0.0才支持外网）；再用ss -tulpn或lsof核对进程归属；接着检查系统防火墙（firewalld/ufw）和云平台安全组、网络acl是否放行；最后逐级测试本地curl、局域网telnet、公网访问验证链路。
服务启动了但端口访问不通，十有八九不是代码问题，而是服务和防火墙在“抢端口”或“互相看不见”。排查关键在于分层验证、逐层排除，不跳步、不假设。
先确认服务真正在监听目标端口
防火墙再严，也拦不住一个根本没绑上端口的服务。这一步必须最先做：
- 用 ss -tuln | grep :端口号 或 netstat -tuln | grep :端口号 查看该端口是否出现在 LISTEN 状态
- 注意看监听地址：如果只显示 127.0.0.1:端口，说明服务只接受本地访问；要外网可连，必须是 0.0.0.0:端口 或具体公网IP
- 确认进程归属：lsof -i :端口号 或 ss -tulpn | grep :端口号，核对 PID 和程序名是否为你预期的服务
检查系统级防火墙是否放行入站流量
Linux 常见的是 firewalld 或 iptables；Windows 是 Windows Defender 防火墙。它们默认会拦截所有未明确允许的入站连接：
- CentOS/RHEL：运行 firewall-cmd --list-ports 或 firewall-cmd --list-all，确认目标端口+协议（如 8080/tcp）已出现在 public/active zone 中
- Ubuntu/Debian（ufw）：执行 sudo ufw status verbose，检查对应端口是否为 “ALLOW” 状态
- Windows：打开 wf.msc → 左侧选“入站规则”，按端口筛选，确认有启用状态的规则，且协议、端口、配置文件（通常是“域”或“专用”）匹配
别漏掉云平台安全组或网络ACL
如果你用的是阿里云、华为云、腾讯云等公有云，操作系统防火墙只是最后一道门，前面还有更外层的安全策略：
- 登录云控制台，进入对应ECS实例的“安全组”页面
- 检查入方向规则：是否有允许目标端口（如 18888）、协议（TCP/UDP）、源IP（常用 0.0.0.0/0 表示全部）的条目
- 若使用了VPC子网级网络ACL，也需同步检查其入站规则——它在安全组之前生效，优先级更高
验证链路是否真正打通
光看配置不够，得用实际请求测试每一段：
- 在服务器本地执行：curl -v http://127.0.0.1:端口 → 成功 = 服务正常
- 从局域网另一台机器执行：telnet 公网IP 端口 或 nc -zv 公网IP 端口 → 成功 = 安全组+系统防火墙都通
- 从公网环境（如手机4G）测试：用浏览器或 curl 访问 http://公网IP:端口 → 成功 = 所有环节无阻断
