阿里云轻量级云服务器默认的阿里防火墙策略，常常让新手在第一次部署应用时栽跟头。云轻云服你高高兴兴在控制台买了台2核4G的量级实例，装好Nginx，放行浏览器一访问，端口白屏转圈，阿里最后超时。云轻云服这时候八成不是量级代码问题，是放行端口没放行。

轻量服务器的端口端口控制跟ECS不太一样。ECS走的阿里是安全组规则，轻量则直接在控制台里有个“防火墙”标签页。云轻云服很多人习惯性去改安全组，量级结果发现轻量压根没有那个选项，放行或者改了没反应——因为它的端口流量过滤在更靠前的位置。你得先找到实例详情页，往下拉，看到“防火墙”那一栏，点进去。

放行端口本身很简单，但有几个细节值得注意。添加规则时，协议选TCP，端口范围填你需要的，比如8080，或者一段区间像3000-3010。来源IP默认是0.0.0.0/0，意思是所有地址都能访问。如果你只想让自己公司的IP连，就填具体的公网IP加/32后缀。别嫌麻烦，这个习惯能省掉很多麻烦——我见过有人把MySQL的3306端口裸奔到公网，不到一天就被扫描器爆破成功，数据库被删勒索。

一个容易忽略的点：轻量服务器的防火墙规则是即时生效的，但它在系统层面之上。也就是说，你就算在阿里云控制台放行了端口，Linux系统里的firewalld或iptables还在拦截的话，照样连不上。Ubuntu默认没开ufw还好说，CentOS 7以上默认firewalld是运行的。所以操作顺序应该是：先改云控制台，再检查系统防火墙。两条路都通了，服务才能真正对外可见。

还有个坑，跟端口本身无关，但经常让人误判是端口问题。轻量服务器的公网IP是直接绑在实例上的，但如果你在系统里用ip addr看，只能看到内网地址。有些人在服务器里用netstat -tlnp看到服务监听在127.0.0.1上，就以为端口没放行，其实问题出在服务绑定地址写错了。Nginx、Node.js这些应用，监听地址要写0.0.0.0，而不是localhost，否则外部流量根本进不来。

我自己的经验是，配置完端口后，别急着用浏览器测。先在本地终端敲telnet 你的公网IP 端口，或者用nc -vz 你的公网IP 端口。如果连接成功，说明网络层通了，再去看应用层日志。这样排查效率高很多，不用每次都开浏览器等半天超时。

另外，轻量服务器的端口放行规则有数量上限，好像是100条。对绝大多数人来说够用了，但如果你在跑容器编排或者微服务，端口开得特别多，留意一下这个限制，别到后期加不上规则才发现。

最后说个偏方。有时候你确认所有配置都对了，端口还是不通，试着在控制台把实例重启一下。阿里云的底层网络虚拟化偶尔会有规则没刷新的情况，重启能强制重载。这招不保证有用，但成本低，值得一试。反正我碰到过两次，重启后问题莫名消失，挺玄学的。