安全组放行了，端口还是不通，别只盯着安全组看

新开的云服务器装好服务，浏览器一访问就超时。第一反应往往是安全组没放行，登录控制台一看，端口明明在入方向规则里。这时候再改安全组没用，问题多半在另外两层。

先确认服务自己有没有在听。ssh 登录机器，跑 ss -tlnp 看一眼，端口在不在监听列表里，监听的是回环地址还是全地址。只绑了回环地址，服务只接本机请求，外面怎么敲门都没用。改绑定地址或者启动参数，重启服务再看。

服务在听，再看系统防火墙。很多镜像默认开着 firewalld 或者 iptables，规则里没放行，包到机器门口就被拦了。firewall-cmd --list-all 或者 iptables -L 看一眼，有就加一条放行，顺手把规则存下来，免得重启丢了。

这两层都没问题，再回头看云上。安全组规则要看方向和协议，TCP 还是 UDP，别放错；还要看优先级，拒绝规则排在前面会把放行盖掉。同一台机器挂了多个安全组，规则是并集，任何一个拒绝都可能拦住。

还有一种情况，端口通了，握手却慢或者断断续续。先看带宽和连接数有没有跑满，抓个包看是卡在建连还是卡在握手之后。定位到哪一层，再决定动哪一层。

排查的顺序反过来也行，关键是每次只动一处，动完测一次。两处一起改，通了也不知道是哪一处起的作用，下次遇到还是从头猜。