telnet连接结果精准指示拦截层级：connected说明端口开放且防火墙放行；connection refused表明服务未监听；timeout则大概率是防火墙或安全组拦截。需结合ss、lsof查监听状态，用firewall-cmd或iptables命令验证规则，并临时关闭防火墙快速定位问题。
Linux 系统中用 telnet 配合防火墙排查端口拦截，核心是“先验证连通性，再逐层排除拦截点”。telnet 本身不操作防火墙，但它的连接结果（Connected vs Connection refused vs timeout）能精准提示问题在哪一层。配合防火墙命令，就能快速定位是本机防火墙、服务绑定还是网络路径的问题。
看 telnet 返回结果，判断拦截层级
在客户端执行：
telnet 服务器IP 端口号
- 显示 Connected → TCP 握手成功，说明端口开放、防火墙放行、路由可达；问题大概率出在应用层（如服务未响应、协议错误）
- 显示 Connection refused → 服务器收到了请求，但无进程监听该端口；重点查服务是否运行、是否绑定了 0.0.0.0（而非仅 127.0.0.1）
- 卡在 Trying… 后超时（timeout） → 请求没到达服务器，或被中途丢弃；90% 是防火墙（本机 firewalld/iptables 或云平台安全组）拦截，或路由不通
本地服务监听与绑定检查
登录服务器，确认服务确实在监听且可被外部访问：
- 运行 ss -tuln | grep :端口号，检查 Local Address 列：必须是 *:端口 或 0.0.0.0:端口，不是 127.0.0.1:端口
- 查进程归属：lsof -i :端口号，确认 PID 和程序名是否正确
- 本地测试连通性：telnet 127.0.0.1 端口号，若不通，说明服务根本没起来或配置有误（如 MySQL 的 bind-address 未改）
系统防火墙放行状态验证
根据系统类型，检查当前启用的防火墙组件（三者通常互斥，只查一个）：
-
firewalld（RHEL/CentOS/Fedora 默认）：
firewall-cmd --state（确认运行中）
firewall-cmd --list-ports（看目标端口是否在列表里）
若未放行：firewall-cmd --add-port=端口/tcp --permanent && firewall-cmd --reload -
iptables（旧系统或自定义环境）：
sudo iptables -L INPUT -n -v | grep 端口号，重点看是否有 ACCEPT 规则，且位置在 DROP 规则之前 -
nftables（较新发行版默认）：
sudo nft list ruleset | grep -A5 -B5 端口号，确认 chain input 中有对应 accept 规则
快速隔离验证法
当不确定是否为防火墙导致时，用临时操作快速验证：
- 临时关闭本机防火墙：sudo systemctl stop firewalld（firewalld）或 sudo systemctl stop iptables，再从客户端 telnet 测试；能通即确认是它拦截
- 注意：测试完务必恢复，生产环境禁用防火墙；建议用 --permanent 添加规则后 reload，而非停服务
- 云服务器（阿里云、腾讯云等）必须同步检查控制台中的安全组规则，telnet timeout 时 80% 是这里漏配入方向规则
