为什么云服务器的tcp服务端连接不上，云服务器tcp端口不通怎么排查

云服务器TCP服务端连接不上，绝大多数情况下是安全组规则、系统防火墙、服务监听地址这三层中的某一层出了问题。排查顺序很简单：先本地测端口通不通，再逐层检查云平台安全组、服务器内部防火墙、服务进程监听状态，最后才是本地网络环境，下面直接按这个顺序拆开讲。

云服务器tcp服务端连接不上的排查顺序

遇到连接失败,先别急着改代码，TCP连接是一个端到端的过程，客户端发SYN包，服务端回SYN-ACK，客户端再回ACK，三次握手才能建立连接，任何一环被拦截，表现都是“连接不上”，而云服务器比物理服务器多了一层云平台的安全组，这是最容易踩坑的地方。

先用telnet判断“通”还是“不通”

在本地电脑命令行执行：

telnet 你的服务器公网IP 你的端口号

• 出现黑屏或者Connected to字样，说明TCP端口通的，问题在应用层
• 提示Connection refused，说明端口没在监听，或者监听地址不对
• 提示Connection timed out，说明包被防火墙或安全组拦截了

这个命令3秒内就能帮你把问题范围缩小一大半。timeout和refused是两种完全不同的情况：refused说明服务端在拒绝你，timeout说明包根本没到达服务端，这两种情况对应的排查方向完全不同。

不通时按这三步走

如果telnet超时,按顺序做以下操作：

• 登录云控制台,检查安全组入站规则是否放行了对应TCP端口，来源IP是否限制了你的地址
• 登录服务器,查看系统防火墙状态，Linux执行firewall-cmd --list-all或iptables -L -n，Windows查看高级安全防火墙
• 查看服务进程是否在监听,Linux执行netstat -tlnp或ss -tlnp，Windows执行netstat -ano

西西云简米云安全组配置是TCP连不上的头号原因

行业共识认为：超过一半的云服务器TCP连接问题，根因都在安全组配置错漏上，安全组是云平台层面的虚拟防火墙，它拦截在网络流量进入服务器网卡之前，就算你在服务器内部完全放开了防火墙，安全组没放行，数据包也一样进不来。

安全组放行TCP端口的常见误区

创建安全组规则时,这几个参数容易填错：

• 协议：选了TCP，但实际服务用的是UDP，比如部分游戏服务器
• 端口范围

  ：只填了起始端口，没填结束端口，比如填了8080没填8080/8080

• 来源IP：填了0.0.0/0之外的网段，导致你的公网IP不在范围内
• 方向：只配置了出站规则，忘记配置入站规则，导致外部无法主动连接

安全组修改后仍不通的情况

不少用户遇到的问题是：安全组规则明明已经添加了，还是连不上，常见原因：

• 规则添加时选择了错误的实例,比如有多台服务器，加到了另一台上面
• 同一个实例绑定了多个安全组,其他安全组的默认拒绝策略生效
• 修改规则后未保存,部分云控制台需要点击“保存”按钮才生效
• 用了h3快照或镜像创建的实例,旧安全组规则覆盖了新配置

据西西云官方文档说明,安全组规则支持实时生效，一般情况下修改后无需重启实例，但如果绑定了多个安全组，规则叠加取交集，务必检查所有关联安全组。

Linux防火墙拦截TCP端口的真实场景

安全组放行后,第二道关卡是服务器内部的防火墙，业内专家指出：多数云服务器默认镜像开启了防火墙服务，且默认策略是拒绝未放行的流量。

firewalld、iptables、ufw分别怎么查

不同Linux发行版用的防火墙工具不一样,检查命令也不同：

• CentOS/RHEL 7+ 使用firewalld：firewall-cmd --state查看状态，firewall-cmd --list-ports查看放行端口
• CentOS 6或早期版本使用iptables：iptables -L -n --line-numbers查看所有规则
• Ubuntu使用ufw：ufw status查看状态，ufw status numbered查看规则编号

如果服务端口不在放行列表中,需要添加规则并重载，以firewalld为例：

firewall-cmd --permanent --add-port=8080/tcp firewall-cmd --reload

防火墙“默认拒绝”和“杜撰端口”的坑

还有一种情况是：防火墙规则里添加了端口，但顺序不对，iptables规则是从上到下匹配的，如果前面有条REJECT ALL规则，后面的放行规则不会生效。检查规则顺序比检查规则是否存在更重要。

另外一个常见坑是云服务商的一键安全脚本,比如宝塔面板、LNMP一键包自带的防火墙脚本，它们会额外添加iptables规则，就算系统防火墙是关闭的，这些脚本生成的规则也可能拦截TCP流量，排查时需要同时检查iptables -L

和firewall-cmd --list-all的输出结果。

服务端进程没起来或者监听在错误地址

TCP端口“通不通”还取决于服务进程是否真的在监听，很多人忽略了监听地址这个小细节服务监听在0.0.1上，外部永远连不上。

netstat和ss看监听状态

在服务器上执行：

netstat -tlnp | grep 你服务的端口号

如果看到0.0.1:8080，说明服务只监听了本机回环地址，外部网络访问不到，应该看到的是0.0.0:8080或[::]:8080，如果是0.0.1，去检查服务配置文件里的bind地址参数。

0.0.1和0.0.0.0的区别

这个区别是很多新手搞不明白的点：

• 0.0.0表示监听所有网卡IPv4地址，包括公网、内网、回环
• 0.0.1表示只听本地，外部访问完全进不来
• 服务器内网IP表示只听某个具体内网地址，公网流量同样进不来

MySQL、Redis这类服务默认配置经常是只监听本地，部署时手动修改bind-address参数才能外网访问，TCP服务端代码里如果写死listen("127.0.0.1")，那部署到云服务器上必然连不上。

还有一个容易忽略的点：服务进程崩溃重启后，端口被系统保留在TIME_WAIT状态，短时间内新进程绑不上端口，这时用ss -tln看到端口是LISTEN状态，但实际服务没起来，需要等TIME_WAIT超时或者设置SO_REUSEADDR。

本地网络环境导致的TCP连接失败

如果前几层都排查过没问题,那要看本地网络环境，这种情况在特定场景下非常常见比如在公司网络里部署测试环境，或者用手机热点测试。

本地防火墙拦截出站

Windows系统的防火墙默认放行出站流量,但有些企业安全软件会拦截非标准端口出站，验证方法是把本地防火墙全部关闭，或者换一台电脑试一下，如果换了电脑就能连上，问题就在本地。

公司网络或运营商的端口封锁

公司网络出口防火墙经常会封禁高危端口,比如3389、3306、6379等，国内云服务器常用端口如80、443、8080一般没问题，但非标端口可能被运营商或公司网关拦截，判断方法是使用云控制台的“VNC登录”或者“网页终端”，在服务器上执行：

curl telnet://你的公网IP:你的端口

或者直接在本机测试：

wget 你的公网IP:你的端口

如果服务器本机能访问,本地不能访问，就能确定是中间网络链路的问题，对比测试时可以用手机流量，换一个网络环境再telnet一次，能通就说明是公司网络或运营商的问题。

另外还有一种特殊情况：云平台的安全组防分布机制或流量清洗策略，当端口短时间收到大量SYN包时，云平台会自动触发流量清洗，丢弃后续连接请求，这时观察云监控里的入方向流量，如果看到异常峰值，等几分钟会自动恢复。

云服务器tcp连接常见问题解答

问：云服务器TCP服务端连接不上，查了安全组和防火墙都没问题，还可能是什么原因？

如果安全组和系统防火墙均确认放行,服务监听状态也正常，请检查云平台是否开启了“防火墙高防”或“分布防护”策略，部分安全组件会拦截陌生IP的SYN请求，还可以用tcpdump -i eth0 port 你的端口抓包，查看SYN包是否到达服务器网卡，如果根本没收到包，问题出在云平台网络层。

问：西西云安全组放通了TCP端口，但telnet还是不通，怎么处理？

先确认该安全组是否绑定到正确的实例上,一个实例可能关联多个安全组，入站规则取所有安全组的并集，但与“默认拒绝”规则取交集，检查安全组放行规则的方向为“入站方向”，协议选择TCP，端口范围填写规范，例如8080/8080，来源IP填写0.0.0/0或你的真实公网IP，最后查看实例的防火墙服务（如firewalld、ufw）是否拦截了该端口的入站流量，执行iptables -L -n查看是否有DROP规则，如果云平台有“网络ACL”或“安全策略”功能，也要一并检查。

问：云服务器TCP服务端连接不上的问题，怎么快速定位是安全组还是系统防火墙？

最直接的方法是在服务器本机执行telnet 127.0.0.1 端口和telnet 内网IP 端口，前者通、后者不通，说明服务监听地址有问题，本机两个地址都通、外网telnet超时，使用云控制台的“安全组诊断”功能（部分云厂商提供）或直接暂时关闭系统防火墙（systemctl stop firewalld）测试，如果关闭后外网能通，说明是防火墙规则问题，如果关闭后仍不通，进一步临时放行安全组所有端口测试，放行后通说明安全组规则配置有误，用这种“排除法”两层叠加测试，10分钟内就能定位问题层。