服务明明在跑，端口却不通？按这个顺序查

服务进程明明在跑，ps 能看到，日志也没报错，但从别的机器就是连不上端口，或者本地 curl 通、远程却不通。这种情况多半不是服务坏了，而是中间某一层把路拦住了，按从里到外的顺序查一遍基本能定位。

第一，先确认服务本身在监听。本地先 curl 一下 127.0.0.1:端口，通就说明服务本身正常，问题在外面；不通再往下查。用 ss -tlnp 看监听状态，重点看监听地址：如果是 127.0.0.1:端口，那只接受本机连接，远程当然连不上，要改成 0.0.0.0:端口或者具体的对外地址才行。很多服务默认只绑回环，部署到服务器上忘了改，这是最常见的一层。

第二，查本机防火墙。服务监听正常、本地 curl 也通，但远程不通时，先看 firewalld 或 iptables 有没有放行这个端口：firewalld 用 firewall-cmd --list-ports，iptables 用 iptables -L -n。没放行就加上，放行后先别急着断定，再从远程试一次。注意有些发行版默认策略就是拒绝，装完系统没配过防火墙的话，先查这里。

第三，查云厂商安全组。云服务器上还有一层：控制台里的安全组、网络 ACL。就算本机防火墙全放行了，安全组里没放这个端口，外面照样进不来。去控制台核对入方向规则，确认协议、端口、来源地址段都对上。来源写成了自己的出口 IP、换了网络就连不上的情况也不少，排查时先放 0.0.0.0/0 试一次确认是不是安全组的问题，确认后再收紧。

总结一下：端口不通先本地 curl 定性，再按监听地址、本机防火墙、云安全组的顺序从里往外查，多数情况查到第二步、云上查到第三步就破案了。