安全组已放通仍连不上 ECS 端口：从外到内的七步排查流程

在华为云上经常遇到这样的问题：明明在安全组里放通了端口，客户端依然连不上服务器。很多人会反复改安全组规则，其实问题往往出在别的层面。这篇文章整理了一套从外到内的排查流程，每一步都有可直接执行的命令，适合 ECS 上部署的 Web、数据库等服务。

一、先确认是超时还是被拒绝

在客户端执行 telnet 或 nc 测试端口，不同的现象指向不同的方向：

• 长时间卡住后超时：多半是网络层丢包，要检查安全组、网络 ACL、路由、弹性公网 IP 是否绑定。
• 立即返回 Connection refused：网络是通的，说明目标机器上没有进程监听该端口，或被本机防火墙拒绝。

nc -vz 192.0.2.10 8080
curl -v --connect-timeout 5 http://192.0.2.10:8080/

先分清这两种情况，可以避免在错误的方向上浪费时间。

二、检查服务是否真的在监听，并且监听的地址正确

登录 ECS，执行：

ss -lntp | grep 8080

需要特别留意监听地址。如果显示 127.0.0.1:8080，说明服务只允许本机访问，外部永远连不上，需要把配置里的 bind 地址改成 0.0.0.0 或内网网卡地址，然后重启服务。很多开发框架默认只监听本地回环地址，这是最容易被忽略的原因。

三、检查系统自带防火墙

安全组放通后，系统内部的防火墙仍可能拦截。CentOS 和 EulerOS 常见的是 firewalld，Ubuntu 常见的是 ufw，也可能直接是 iptables 规则：

systemctl status firewalld
firewall-cmd --list-ports
ufw status
iptables -L -n --line-numbers

如果确认需要放通，用 firewall-cmd --add-port=8080/tcp --permanent 之后再 reload。注意不要为了图省事直接关闭防火墙，尤其是有公网地址的机器。

四、核对安全组规则的细节

控制台上的安全组规则有几个容易写错的地方：

• 方向：访问服务器需要的是入方向规则，出方向规则不影响外部访问。
• 协议和端口：TCP 与 UDP 是分开的，端口范围要包含目标端口。
• 源地址：如果只填了某个办公网出口地址，换了网络就会失败；测试阶段可以暂时临时放宽，确认问题后再收紧。
• 实例是否绑定了正确的安全组：一台 ECS 的网卡可以绑定多个安全组，要确认你修改的就是它实际使用的那个。

五、检查网络 ACL 与路由

安全组是有状态的，而子网关联的网络 ACL 是无状态的，需要入方向和出方向都放通。如果子网开启了自定义网络 ACL，默认规则通常是拒绝，必须逐条检查。同时要确认访问公网的场景下，ECS 已绑定弹性公网 IP，且子网路由表没有被改动。

六、用抓包定位最后一公里

以上都排查完仍然不通时，可以在服务器上抓包，看请求有没有到达：

tcpdump -i eth0 -nn port 8080

同时在客户端发起连接。如果服务器上完全看不到 SYN 包，说明流量在云上网络层就被丢弃，回到安全组和网络 ACL；如果看到了 SYN 却没有应答，则问题在系统防火墙或服务本身。这一步通常能一次性把范围缩小一半。

七、一个简单的排查清单

• 区分超时还是拒绝。
• ss 确认监听地址不是 127.0.0.1。
• 检查 firewalld、ufw、iptables。
• 核对安全组入方向、协议、端口、源地址、绑定关系。
• 检查网络 ACL 的入出方向与路由。
• tcpdump 对照客户端请求判断流量在哪一层丢失。

把这套顺序固化下来之后，大多数“安全组明明放通了却连不上”的问题，几分钟内就能找到原因。排查时记得每次只改一处，并记录改动，这样即使问题解决了，也能清楚地知道到底是哪一步起了作用。