问题大概率不在防火墙本身，而在于服务监听地址错误（如仅绑定127.0.0.1）、云安全组未放行、内核ip转发关闭、selinux拦截或端口被占用；需依次检查ss -tlnp监听地址、firewall-cmd --list-ports规则、云平台安全组、sysctl net.ipv4.ip_forward值、getenforce状态及lsof端口占用。
防火墙放行了端口但外部仍无法访问，问题大概率不在防火墙本身，而是在服务监听配置、网络路径或系统内核层面。直接按顺序查这三处，能快速定位。
确认服务是否真正监听在可访问地址上
很多问题根源是服务只绑定了 127.0.0.1 或 ::1，导致仅本机能连，外网流量根本进不来。
- 运行
ss -tlnp | grep :端口号（如ss -tlnp | grep :8080） - 重点看第四列 Local Address:Port：
-
127.0.0.1:8080或[::1]:8080→ 只响应本地请求，必须改 -
0.0.0.0:8080或*:8080→ 正常，监听所有 IPv4 接口 -
192.168.1.100:8080→ 仅该网卡子网可访问，需确认客户端是否同网段
-
- 常见服务修改方式：
- Nginx：检查
listen指令是否写了具体 IP，应为listen 8080;或listen 0.0.0.0:8080; - Spring Boot：确认未配置
server.address=127.0.0.1，默认即为0.0.0.0 - Node.js：
app.listen(8080, '0.0.0.0')替代'127.0.0.1'
- Nginx：检查
验证防火墙规则是否完整且生效
firewalld 放行的是“端口+协议”的组合，漏掉 /tcp 或 /udp 后缀，命令会静默失败。
- 查当前放行项：
firewall-cmd --list-ports - 正确添加方式（以 DNS 为例）：
firewall-cmd --permanent --add-port=53/tcpfirewall-cmd --permanent --add-port=53/udp
- 加完务必重载：
firewall-cmd --reload - 注意：若用
iptables，避免用-A追加规则，前面若有DROP规则会导致新规则失效；改用iptables -I INPUT插入到最前
检查云平台安全组与内核转发设置
云服务器有两道独立防护：安全组（云平台层）和 firewalld（系统层），缺一不可；做 NAT 或代理时还依赖内核转发开关。
- 登录腾讯云/阿里云控制台，确认安全组的入方向规则已放行对应端口、协议（TCP/UDP）、源地址（如
0.0.0.0/0） - 检查内核 IP 转发是否开启：
-
sysctl net.ipv4.ip_forward→ 返回0表示关闭 - 临时启用：
echo 1 > /proc/sys/net/ipv4/ip_forward - 永久生效：在
/etc/sysctl.conf中添加net.ipv4.ip_forward = 1，再执行sysctl -p
-
- 该值为
0时，firewalld的masquerade或forward区域规则将不生效，现象就是“本地 telnet 通，外网连不上”
补充排查项：SELinux、端口占用与权限
尤其在 CentOS/RHEL 系统上，这些因素容易被忽略。
- 查 SELinux 状态：
getenforce，若为Enforcing，可临时测试：setenforce 0；确认是它拦截后，再用setsebool -P httpd_can_network_bind 1开放对应策略 - 查端口是否被占：
lsof -i :8080或fuser 8080/tcp；常见冲突源包括残留进程、Docker 容器、或 Skype（兼容层） - 低权限用户无法绑定
端口（如 80、443），尝试用 <code>sudo启动，或改用8080等高位端口
