linux防火墙配置不当是服务无法访问的常见原因，需检查规则是否放行端口、协议及源ip，并确认服务监听地址为0.0.0.0而非127.0.0.1，同时排查云安全组、路由器、selinux等多层过滤。
Linux 防火墙（如 iptables、nftables 或 firewalld）是服务无法访问的常见原因。排查时需确认规则是否放行目标端口、协议及来源 IP，同时注意服务监听地址是否为 127.0.0.1（仅本地可访问）而非 0.0.0.0 或具体网卡 IP。
检查当前防火墙状态和规则
根据系统使用的防火墙工具执行对应命令：
-
firewalld（CentOS/RHEL 7+/Fedora 默认）：
sudo firewall-cmd --state确认服务是否运行；sudo firewall-cmd --list-all查看当前 zone 的所有开放端口、服务及富规则；
若需临时放行端口（如 8080）：sudo firewall-cmd --add-port=8080/tcp --permanent && sudo firewall-cmd --reload -
iptables（传统方式，Debian/Ubuntu 常见）：
sudo iptables -L -n -v查看规则链（重点关注 INPUT）；
检查是否有显式DROP或REJECT规则在允许规则之前生效；
临时开放端口：sudo iptables -I INPUT -p tcp --dport 8080 -j ACCEPT -
nftables（较新系统默认）：
sudo nft list ruleset查看完整规则；
注意 chain 类型（如input）、hook（input）、priority 及是否默认 drop。
确认服务监听地址与端口是否匹配防火墙策略
防火墙放行了端口，但服务若只绑定在 127.0.0.1:8080，外部请求仍会失败。用以下命令验证：
-
ss -tlnp | grep :8080或netstat -tlnp | grep :8080；
关键看Local Address:Port列：应为*:8080、0.0.0.0:8080或具体外网 IP，而非127.0.0.1:8080。 - 若绑定错误，需修改服务配置（如 Nginx 的
listen、Node.js 的server.listen(8080, '0.0.0.0')）。
区分内外网访问场景，检查网络路径中的多层过滤
即使本机防火墙放行，访问仍失败可能因：
- 云服务器（如阿里云、AWS）安全组未开放对应端口；
- 物理/虚拟路由器或 NAT 设备做了端口屏蔽或未做端口映射；
- 客户端所在网络（如公司防火墙、校园网）限制了目标端口；
- SELinux 启用时，可能拦截网络连接（可用
sudo setsebool -P httpd_can_network_connect 1开放，视服务而定）。
快速验证：临时关闭防火墙测试连通性
仅用于排查，切勿长期关闭：
- firewalld：
sudo systemctl stop firewalld； - iptables：
sudo iptables -P INPUT ACCEPT && sudo iptables -F INPUT； - nftables：
sudo systemctl stop nftables。
关闭后立即用 curl -v http://SERVER_IP:8080 或 telnet SERVER_IP 8080 测试。若恢复访问，基本可锁定为防火墙配置问题。
