运维人员经常遇到这样的场景：服务器上的 80 端口本机访问正常，服务进程也没有退出，但外部连接公网地址时长时间超时；换成 443 端口却能访问。此时若只反复重启应用，往往既浪费时间，也掩盖了真正原因。公网端口不可达可能来自服务未监听、主机防火墙静默丢包、NAT端口映射缺失、路由黑洞，甚至运营商侧的端口封禁，必须按照数据包的路径逐层定位。
如果你正在选机器，或者想先把线路和配置跑通再谈长期方案，可以先看看这几家的线路说明和技术参数：数掘科技（全球云服务器），先看清带宽线路、流量策略和退款条款，再决定要不要迁。
先理解端口不可达的五种边界
第一层是服务未监听。应用进程存在并不代表它正在目标地址上监听。服务可能只绑定 127.0.0.1，外网访问因此被本机拒绝；也可能监听 IPv4，却没有提供 IPv6 监听。此时在本机用浏览器或命令访问 127.0.0.1:80 成功，也不能证明公网链路可用。
第二层是主机防火墙。规则可能允许回环地址，却默认丢弃来自外部接口的连接。典型表现是 SYN 发出后没有任何响应，称为防火墙静默丢包；若收到 RST，则更像是服务拒绝或策略明确拒绝。第三层是 NAT：公网 IP 映射到内网主机后，端口映射地址、协议或目标端口必须一致，云主机还可能受到安全组和平台网络策略影响。
第四层是路由黑洞，数据包在中途找不到可用路径，或被沿途设备丢弃。第五层是端口封禁，包括机房出口、运营商网络或云平台侧的阻断。即使本机和映射关系都正确，公网入口仍可能只允许白名单地址访问。
按本机到公网的顺序建立判断方法
第一步检查监听状态和绑定地址：使用 ss -lntp 查看目标端口对应的进程、协议与地址，确认监听对象不是 127.0.0.1 或 ::1。分别测试本机回环地址、服务器内网地址和实际网卡地址；如果只有回环地址成功，应先修改应用绑定或反向代理配置。
第二步检查主机防火墙和云安全策略：查看 nftables、iptables、firewalld 等规则，确认目标端口及接口没有 DROP 策略，再从另一台主机发起连接。对比客户端收到的是超时、RST 还是正常握手，能够快速缩小范围：超时常见于丢包或无路由，RST 通常表示服务或策略主动拒绝。
第三步核对 NAT 映射。检查公网 IP、协议、内外端口、目标内网 IP 和目标端口是否逐项匹配，并确认映射后的主机没有双重 NAT。IPv6 环境通常不需要 NAT 端口映射，而是依靠 IPv6 路由和防火墙策略直接到达服务器，因此可能出现“IPv4 不通、IPv6 直连正常”的差异。排查时可借助 ServLlama 整理端口、地址和连接结果，减少手工记录造成的遗漏。
第四步追踪路径和握手。在服务端抓取 SYN、 SYN-ACK、ACK 三个阶段，观察请求是否抵达、响应是否离开；若只看到 SYN，通常是本机防火墙或上游丢弃。客户端同步抓包能区分“服务端没有回应”和“响应未返回”。再结合 traceroute、路由表和 TTL 变化判断是否存在路由黑洞。对比不同运营商、不同来源地址的结果，还可以发现仅针对特定入口的端口封禁，而不是误判为应用故障。
从 NAT 映射到 TCP 握手
先确认流量路径。IPv4 公网入口通常依赖NAT 端口映射或云平台转发。映射目标离线、端口冲突、空闲超时，以及双重 NAT、CGNAT或上级封锁，都会让末级规则失效；此时仅在路由器上加映射并不能得到公网入口。
若外部 SYN 未到达目标机，检查公网地址、路由、映射和上游防火墙；若 SYN 到达却无响应，检查监听地址、端口绑定及本机防火墙。用 ss -lntp 确认服务监听在目标接口，而非仅监听 127.0.0.1。TCP 握手追踪应同时抓网关与服务器：客户端有 SYN 而网关没有，入口侧阻断；网关有 SYN 而服务器没有，转发侧阻断；服务器返回 SYN+RST，则链路已通，应转查应用协议或访问控制。
常见误区是从同一内网用公网地址测试，这会触发回流 NAT并造成误判，应改用手机热点等外部网络。还要避免协议不匹配：nc -vz -w3 只能验证 TCP 建连，成功后仍应用 curl 核对状态码、证书和路径。
IPv6 直连与防火墙静默丢包
IPv6 直连差异在于通常无需 NAT。客户端可经路由直接连接，但前提是上游具备 IPv6 路由、服务器地址有效，且入站过滤允许该地址和端口。有些网络能解析 AAAA 记录，却因客户端或中间设备没有可用 IPv6 路径而失败。因此应分别测试 IPv4、IPv6，并核对地址作用域，避免使用临时或链路本地地址。
防火墙静默丢包通常只表现为超时，没有 RST；主动拒绝则立即返回“Connection refused”。应检查云安全组、主机防火墙和交换机的规则及命中计数，确认源地址白名单、端口范围与方向。维护窗口可临时加入最小放行规则并抓包定位 SYN 的消失位置，随后立即撤销。若收到 ICMP administratively prohibited，说明包已到过滤点，只是策略选择丢弃。
可执行检查清单：①在服务器执行 ss -lntp，核对监听地址、端口和进程；②核对公网 IP、NAT 映射、双重 NAT/CGNAT；③从外部网络用 nc 与业务工具测试，记录超时还是拒绝；④在入口和服务器同时抓包，按 SYN、SYN-ACK、RST 判断断点；⑤检查各层防火墙规则及计数；⑥若走 IPv6，另查路由、地址作用域和 AAAA 解析。按入口、转发、主机、应用的顺序排查，可避免反复重启服务却找不到阻断点。
喜欢 
顶
难过
囧
围观
无聊
