端口能ping通但服务连不上，十有八九是防火墙拦截：icmp放行而tcp/udp被阻，需先用telnet或nc测试端口响应（connection timed out即防火墙拦截），再逐层排查云安全组、主机防火墙及服务监听状态。
端口能 ping 通但服务连不上，十有八九是防火墙在“守门”。它放行了 icmp（ping），却拦下了 tcp/udp（服务访问），这种不对称放行正是最典型的防火墙拦截现象。
先确认是不是防火墙干的
别一上来就改规则，先做两件事快速锁定问题：
- 在客户端执行：telnet 目标IP 端口号 或 nc -zv 目标IP 端口号；出现 Connection refused，说明服务没监听或根本没起——和防火墙无关；出现 Connection timed out 或卡住不动，大概率就是被防火墙/安全组挡住了。
- 登录目标服务器，临时关闭防火墙测试（仅限测试环境）：
• Windows：netsh advfirewall set allprofiles state off
• CentOS/RHEL（firewalld）：systemctl stop firewalld
• Ubuntu（UFW）：ufw disable
关闭后重试连接，若立刻通了，100%是防火墙策略问题。
Windows 系统防火墙放行端口
不能只靠图形界面点几下，得用命令确保规则生效且持久：
Windows-Android_SSH_Remote_Control
下载
通过 SSH 隧道从 Android 设备在互联网上对 Windows PC 实现完整远程控制的设置与使用指南，适用于远程桌面访问、安全 RDP 等。
- 添加入站规则（TCP 和 UDP 都要加，除非明确只用一种）：
netsh advfirewall firewall add rule name="MyApp" dir=in action=allow protocol=TCP localport=8080
netsh advfirewall firewall add rule name="MyApp-UDP" dir=in action=allow protocol=UDP localport=8080 - 检查规则是否生效：netsh advfirewall firewall show rule name="MyApp"
- 注意：规则默认只对“域”“专用”“公用”中当前网络位置生效。如果服务器连的是“公用网络”，需额外指定 profile=public，否则规则不加载。
Linux 系统防火墙放行端口
区分 firewalld 和 iptables，别混用：
- firewalld（CentOS 7+/RHEL 8+）：
查看状态：systemctl status firewalld
查已开放端口：firewall-cmd --list-ports
永久放行：firewall-cmd --add-port=8080/tcp --permanent && firewall-cmd --reload - iptables（旧系统或定制环境）：
放行端口：iptables -I INPUT -p tcp --dport 8080 -j ACCEPT
保存规则（不同发行版命令不同）：
• CentOS：service iptables save
• Debian/Ubuntu：iptables-save > /etc/iptables/rules.v4
别忘了云平台那道“外层防火墙”
本地防火墙开了，服务也监听了，还是连不上？90% 是卡在云服务商的安全组上：
- 登录阿里云/腾讯云/华为云控制台，找到对应云服务器实例 → 安全组 → 入方向规则；
- 添加新规则：
协议类型选 TCP（或 UDP）
端口范围填具体端口号（如 8080）或范围（如 8000-8099）
授权对象填 0.0.0.0/0（测试用）或精确 IP 段（生产推荐）； - 注意：安全组规则是“叠加生效”，多个安全组同时绑定时，任一拒绝规则都会导致拦截；优先级数字越小越先匹配，别让高优先级的 deny 规则盖过了你的 allow。
