ECS 服务端口不通时，先把访问链路拆开

服务已经启动，却无法从外部访问，问题可能出在监听地址、系统防火墙、安全组，也可能是请求根本没有到达这台实例。把这些层混在一起排查，容易出现一次放开很多端口、最后仍不知道原因的情况。 ## 从实例内部开始验证 先核对服务实际监听的端口和地址。Linux 上可以用只读的 `ss -lnt` 查看 TCP 监听；看到某个进程存在，还不能说明它已经成功绑定端口。接着分别请求回环地址和实例私有地址，记录连接是否建立、HTTP 状态以及耗时，不把业务响应正文直接写进排障记录。 ## 再核对外部路径 华为云安全组放通端口后，实例内部对应端口也需要可用。这是两个不同的检查点。外部请求还应核对目标公网地址、协议以及域名解析结果，避免访问到旧实例。只有内部请求成功、外部请求失败，才把重点转向实例外的网络路径。 可以为每一层留下一个明确结论：没有监听、只监听回环、私网可达或公网不可达。修复时只改变与该结论直接相关的一项，再用同样请求复核。这样得到的是可解释的恢复过程，而不只是一个偶然成功的页面。 参考：[华为云 ECS：配置安全组规则](https://support.huaweicloud.com/usermanual-ecs/zh-cn_topic_0030878383.html)。本文给出排查顺序，不代表对任何具体实例做过实际测试。