排查nginx反向代理端口错，核心是确认“nginx能不能连上后端”：一查后端是否真实监听目标端口（用netstat或ss）；二测nginx本机能否telnet通该端口；三查selinux、系统防火墙及云安全组拦截；四核proxy_pass端口与后端实际监听端口、域名解析、docker映射是否一致。

排查Nginx反向代理端口错，核心是确认“Nginx能不能连上后端”——不是看配置写了什么端口，而是验证这个端口在目标机器上是否真实监听、可访问、且没被拦截。

一、先查后端服务有没有真在监听那个端口

登录后端服务器（即 proxy_pass 指向的那台机器），执行：

• netstat -tlnp | grep :8080（把8080换成你配置里的实际端口）——看是否有进程在 LISTEN 状态
• 或用更现代的命令：ss -tlnp | grep :8080
• 如果没输出，说明服务根本没启动，或启动失败后退出了；此时要查服务日志，比如 journalctl -u your-app.service -n 50

二、再查Nginx本机能连通那个端口吗

别只信配置，要实测连通性。在Nginx所在服务器上运行：

linux-performance-analyzer

Linux 性能分析与调优专家，覆盖 CPU、内存、磁盘 I/O、网络、内核参数、编译优化、容器/K8s。适用场景：系统卡顿/高负载、内存不足/OOM/Swap 高、CPU 异常/iowait 高。

下载

• telnet 127.0.0.1 8080（本地服务）或 telnet 192.168.1.100 8080（远程服务）——能进入交互界面说明TCP可达
• 若提示 Connection refused：端口未监听，或服务绑定在 127.0.0.1 但你从其他IP访问（注意 bind 地址）
• 若卡住几秒后超时：大概率是防火墙（iptables/nftables）或安全组（云服务器）拦截了

三、特别注意SELinux和防火墙干扰

CentOS/RHEL系常见隐形杀手：

• 检查SELinux是否阻止网络连接：getsebool httpd_can_network_connect —— 若为 off，需开启：setsebool -P httpd_can_network_connect on
• 查防火墙规则：sudo firewall-cmd --list-all（firewalld）或 sudo iptables -L -n（iptables）——确认目标端口在 public zone 或已放行
• 云服务器务必同步检查控制台里的“安全组”规则，它比系统防火墙优先级更高

四、验证Nginx配置里写的端口和实际一致

容易忽略的细节：

• proxy_pass 后面写的是 http://127.0.0.1:3000，但后端实际监听在 0.0.0.0:3001？端口号对不上就必然502
• 用了域名（如 proxy_pass http://api.internal:8080），要确认Nginx服务器能否解析该域名：nslookup api.internal 或 dig api.internal
• 如果后端是Docker容器，检查端口映射是否正确：docker ps 看 -p 参数是否把容器内8080映射到了宿主机对应端口