安全组放行了端口，服务还是连不上？三步排查：安全组 → 网络 ACL → 本机防火墙

刚开了一台云服务器，安全组里明明放行了 80/443，浏览器一访问还是超时？别急着重装系统，先按这个顺序查三层，大概率 5 分钟定位问题。

第一步：安全组规则看方向

安全组规则分「入方向」和「出方向」，新手最容易把规则加错方向。Web 服务要放的是入方向：协议 TCP、端口 80/443、源地址 0.0.0.0/0。

另外注意优先级：数字越小越先生效，一条拒绝规则可能盖掉你的放行规则，加完规则先对一遍列表。

第二步：子网的网络 ACL

很多人不知道，除了安全组，子网还有一层网络 ACL。安全组是有状态的，NACL 是无状态的——回包也要显式放行。

症状很典型：安全组全放通了还是不通。这时候去 VPC → 子网 → 网络 ACL 里看看有没有拒绝规则。默认的 NACL 是全放行的，改过就要仔细对。

第三步：机器自己的防火墙

云上两层都放行了，telnet 还是不通？那就该看机器里面了：

• Linux：看 firewalld / iptables 是否放行了端口
• Windows：看「高级安全 Windows 防火墙」的入站规则
• 服务本身也要确认在监听：ss -tlnp 看看端口到底有没有起来，别光看进程在

小结

排查顺序记住：安全组（方向 + 优先级）→ 网络 ACL（无状态回包）→ 本机防火墙 + 服务监听。从外往里一层层收，基本不会走弯路。