上周帮朋友调一台云服务器，服务他想让外网访问部署在 8080 端口的器外 Web 服务，结果折腾一下午没搞定。网端我远程连上去一看，口开服务器本机防火墙压根没放行，服务安全组里也没加规则。器外端口开不了，网端十有八九是口开这两个地方漏了。

先说清楚一件事：“开端口”不是服务去某个开关上按一下，而是器外要让流量从外网一路通到你的服务进程。这条路上至少有三道关卡——云平台安全组、网端服务器系统防火墙、口开以及服务本身有没有监听在正确的服务地址上。任何一道没配好，器外外面都连不进来。网端

先确认服务真的在监听

很多人一上来就改防火墙，改半天没用，因为服务根本没起来，或者只监听了 127.0.0.1。用这条命令看一眼：

ss -tlnp | grep 8080

如果输出里是 127.0.0.1:8080，那外网永远连不上，因为它只接受本机连接。得让服务监听 0.0.0.0:8080。比如 Node.js 里写 app.listen(8080, '0.0.0.0')，Nginx 配置里写 listen 0.0.0.0:8080;。这一步不解决，后面全白搭。

云平台的安全组或防火墙

阿里云、腾讯云、AWS 这些平台，默认只开 22、80、443 之类的常用端口，你自定义的端口得手动加规则。以阿里云为例，进控制台找到“安全组”，点“配置规则”，入方向添加一条：协议 TCP，端口范围 8080/8080，授权对象 0.0.0.0/0。腾讯云叫“安全组”，AWS 叫 Security Group，逻辑一样。

有个坑我踩过：安全组规则改了不生效，等了两分钟才好。云平台下发规则有延迟，别急着骂娘。

系统防火墙

CentOS 7 以上默认用 firewalld，Ubuntu 常用 ufw。先看状态：

# firewalld firewall-cmd --state # ufw ufw status

firewalld 放行 8080：

firewall-cmd --zone=public --add-port=8080/tcp --permanent firewall-cmd --reload

ufw 放行：

ufw allow 8080/tcp

如果你用的是 iptables 直接写规则，记得保存，不然重启就没了。我见过有人用 iptables -A INPUT -p tcp --dport 8080 -j ACCEPT 加完当时能用，服务器一重启又连不上，就是因为没 service iptables save。

运营商和本地网络

还有一种情况：服务器这边全配好了，外网还是连不上。先别怀疑人生，用手机 4G 网络试一下。如果 4G 能通、公司宽带不通，那大概率是公司出口防火墙拦了 8080。国内不少企业网络只放行 80 和 443，其他端口一律封。家里宽带一般没这问题，但某些地区运营商会对 80、8080 这类端口做限制，换 8443 之类的端口可能就好了。

另外，如果你服务器在海外，国内访问某些端口可能会被 QoS 限速甚至阻断，这个没辙，换端口或者套 CDN。

排查顺序

遇到连不上，按这个顺序查：服务监听地址对不对 → 本机 curl localhost:8080 通不通 → 系统防火墙放没放 → 云安全组加没加 → 换手机网络试 → 换端口试。一层层剥，别跳步。我见过太多人直接去改安全组，结果服务本身就没跑起来。

端口开通这事，说穿了就是一条链路的事。哪一环断了，流量就到不了。把每一环都确认一遍，比瞎猜快得多。

(责任编辑：焦点)