最常见原因是服务监听地址为127.0.0.1（仅回环），导致外网无法访问；需用ss或netstat确认真实监听地址，修改配置绑定0.0.0.0，并检查防火墙及ip_forward开关。
服务监听在 127.0.0.1 是外网无法访问的最常见原因——它不是防火墙没关、也不是端口没开，而是服务从一开始就没“开门迎客”，只对自己说话。
确认服务实际监听地址
别信配置文件或启动日志里写的“已启动”，要看内核真实登记了什么：
- 用
ss -tuln | grep :端口号或netstat -tuln | grep :端口号查看监听行，重点看第二列（Local Address:Port） - 如果显示
127.0.0.1:8080或::1:8080，说明只绑定了回环，外网请求根本进不来 - 如果显示
*:8080或0.0.0.0:8080，说明已监听所有接口，问题在别处
检查服务配置是否硬编码了 127.0.0.1
很多服务默认或文档示例会写死回环地址，需手动改掉：
-
Nginx/Apache：检查
listen指令，改成listen 80;或listen 0.0.0.0:80; -
Redis：检查
bind配置，默认是bind 127.0.0.1，如需外网访问，加公网/局域网 IP 或改为bind 0.0.0.0，并关闭protected-mode yes -
MySQL：检查
bind-address，默认常为127.0.0.1，改为0.0.0.0后记得授权远程用户：GRANT ALL ON *.* TO 'user'@'%' IDENTIFIED BY 'pwd'; -
自研服务：检查代码中
bind()调用是否用了INADDR_LOOPBACK或字符串"127.0.0.1"，应改为"0.0.0.0"或留空
验证修改后是否生效
改完配置不能只重启服务，要再查一遍监听状态，并从外部测试：
- 重启服务后立即运行
ss -tuln | grep :端口，确保显示*:端口 - 在另一台机器上执行
telnet 服务器IP 端口或curl -v http://服务器IP:端口 - 若仍不通，注意检查服务器本机防火墙（
firewalld或iptables）是否放行该端口及对应区域（如 public）
特别注意内核转发开关（NAT/代理场景）
如果你在做端口转发、Docker桥接或 SNAT/MASQUERADE，即使监听对了、防火墙也开了，仍可能失败：
- 检查
sysctl net.ipv4.ip_forward，返回0就必须开启 - 临时启用：
echo 1 > /proc/sys/net/ipv4/ip_forward - 永久生效：在
/etc/sysctl.conf中添加net.ipv4.ip_forward = 1，再执行sysctl -p - 该值为
0时，firewalld的 masquerade 和 forward 区域规则将不生效，现象就是“本地能连，外网连不上”
