HTTPS访问超时主因是443端口未对外暴露，需逐层验证：先用ss/netstat确认Nginx监听0.0.0.0:443而非127.0.0.1；再查iptables/firewalld是否放行443/tcp；最后用telnet/nc测试外网可达性，若超时则属云安全组、NAT或ISP封锁问题。
HTTPS 访问超时但 Nginx 本身运行正常，很可能是 443 端口未对外暴露——这不是 Nginx 配置错误，而是网络层或系统防火墙阻断了 TLS 握手请求。排查必须从外到内、逐层验证是否“能连上”，而非只看 Nginx 是否启动。
确认 Nginx 实际监听了 443 端口且面向外部
即使配置了 listen 443 ssl;，Nginx 默认仍可能只绑定 127.0.0.1（仅限本机），导致外部无法建立 TCP 连接。
- 执行
ss -tuln | grep :443或netstat -tuln | grep :443 - ✅ 正确输出应含
0.0.0.0:443或:::443（IPv6） - ❌ 若只显示
127.0.0.1:443，说明仅本地可访问，需修改配置为：listen 443 ssl;（等价于listen 0.0.0.0:443 ssl;）或显式写listen *:443 ssl; - 改完后执行
nginx -t && nginx -s reload
检查系统防火墙是否放行 443/TCP
Linux 系统默认常禁用非标准端口，443 虽是标准 HTTPS 端口，但仍可能被规则拦截。
- 查看 iptables 规则：
iptables -L INPUT -n -v | grep :443
若无 ACCEPT 行，或存在 REJECT/ DROP 在前，则连接会被静默丢弃 - 临时放行（测试用）：
iptables -I INPUT -p tcp --dport 443 -j ACCEPT - 如用 firewalld：
firewall-cmd --permanent --add-port=443/tcp && firewall-cmd --reload - 注意：规则顺序很重要，REJECT ALL 类规则若在前，会直接终止匹配
验证服务器公网/局域网可达性
端口开放 ≠ 外部可通。需确认目标 IP 真实可达，且中间设备不拦截。
- 从客户端机器执行：
telnet your-server-ip 443或nc -zv your-server-ip 443 - ✅ 连接成功 → 说明网络通、端口开、防火墙放行
- ❌ 超时（Connection timed out）→ 问题在服务器外：可能是云厂商安全组未开放 443、路由器 NAT 未映射、ISP 封禁、或企业防火墙策略
- 检查云平台（阿里云/腾讯云/AWS）安全组，确保入方向允许 TCP 443 来自 0.0.0.0/0（或按需限制）
排除 SSL 握手前的连接中断
如果 telnet 能通，但浏览器仍超时，说明 TCP 连接建立成功，但 TLS 握手失败——此时已不是“端口未开放”问题，而是证书、协议或 SNI 等环节异常，不属于本类排查范围。
- 简单区分：telnet 成功 + 浏览器白屏/ERR_CONNECTION_TIMED_OUT → 99% 是端口或防火墙问题
- telnet 失败 → 不用查证书，先解决连通性
- 可用
openssl s_client -connect your-domain.com:443 -servername your-domain.com进一步验证握手是否发起（需域名 DNS 解析正常）
