服务已经启动，ss 也能看到端口在监听，但从自己电脑访问公网 IP 还是超时。这是云服务器里很典型的故障：程序看似正常，外部请求却没有真正到达应用。
我处理这类问题时，会把链路拆成应用监听、系统防火墙、云平台访问控制、Docker映射和公网路由几层。只反复重启程序，很难碰巧解决真正的拦截点。
今天就按从内到外的顺序，讲清 VPS 端口已经监听却无法从外网访问的排查方法。
一、先确认监听地址，不要只看端口号
执行 ss -lntp，找到对应端口后查看 Local Address。127.0.0.1:8080 只接受本机访问，外部请求无法连接；0.0.0.0:8080 表示监听所有 IPv4 地址，[::]:8080 则与 IPv6 和系统双栈设置有关。
开发服务器经常默认只绑定 localhost。要对外提供服务，需要在应用配置中改成合适的监听地址，同时确认这样做不会把后台管理端口直接暴露给所有人。
监听成功只代表进程打开了套接字，不代表公网链路已经放通。 这是排查时最容易忽略的一点。
二、先从服务器本机测试应用
在服务器内执行 curl -v http://127.0.0.1:端口。本机也访问失败，问题多半在应用、监听协议或服务自身配置；本机正常而外部失败，再继续检查防火墙和公网入口。
还要分清 HTTP 与 HTTPS。应用只提供 HTTP，却用 https:// 测试，会得到握手或连接错误；反过来也一样。端口号正确，不代表协议就正确。
服务由 Nginx 反向代理时，还要分别测试后端端口和 Nginx 入口。这样能判断是应用本身失败，还是代理配置、证书或上游地址有问题。
三、检查Linux防火墙和云平台规则
Ubuntu 常见 UFW，CentOS、Rocky Linux 常见 firewalld，也可能直接使用 nftables 或 iptables。查看规则时不要只确认服务是否启动，还要确认目标端口、协议和来源地址是否匹配。
云平台的安全组或防火墙位于操作系统之外。系统内已经放行，但云端入站规则没开放，请求同样进不来。反过来，云端开放也不能覆盖系统防火墙的拒绝规则。
建议按下面顺序核对：
- 应用是否监听正确地址和协议。
- 本机
curl是否能得到正常响应。 - Linux 防火墙是否允许目标 TCP 或 UDP 端口。
- 云平台入站规则是否允许正确来源。
- 公网 IP、域名解析和测试端口是否一致。
临时关闭全部防火墙虽然能快速试探，却会扩大暴露面。更稳妥的做法是查看命中计数和日志，添加一条范围明确的测试规则，确认后再整理正式策略。
四、Docker端口还要检查映射
容器里的服务监听80端口，不等于宿主机公网的80端口自动可用。使用 bridge 网络时，需要通过 -p 宿主机端口:容器端口 或 Compose 的 ports 发布端口。
用 docker ps 查看 PORTS 列。只有 80/tcp 往往表示容器声明了端口，但没有发布到宿主机；出现 0.0.0.0:8080->80/tcp 才表示宿主机8080已映射到容器80。
还要避免把发布地址写成 127.0.0.1:8080:80，除非你本来就只打算让本机反向代理访问。Docker会创建自己的防火墙规则，手动改 iptables 时也要考虑规则链顺序。
五、用抓包判断请求有没有到服务器
前面的配置看起来都正常时，可执行 sudo tcpdump -ni any tcp port 端口，再从外部发起一次连接。
完全看不到数据包，问题更可能在云平台规则、公网 IP、上游网络或测试目标；能看到 SYN 进入却没有正常回应，则继续查本机防火墙、路由和监听；完成握手后应用返回错误，就回到应用日志和代理配置。
| 测试结果 | 更可能的问题 |
|---|---|
| 本机访问失败 | 应用、监听地址或协议 |
| 本机正常，抓不到外部包 | 云端规则、公网IP或上游网络 |
| 能抓到SYN，没有建立连接 | 系统防火墙、路由或监听 |
| 能连接但返回4xx/5xx | 应用或反向代理配置 |
六、不要把所有端口直接开放到公网
数据库、Redis、面板和监控后台即使能打开，也不代表应该允许全网访问。能使用反向代理、VPN、内网或来源 IP 白名单时，尽量缩小入口范围。
新手在选择服务器时，也应提前看清公网 IP、防火墙和端口限制。需要更换节点或快速验证部署环境时，可把 萤光云 和 LightNode 放进对比范围，但仍要以控制台实际网络规则和业务合规要求为准。
七、我常用的最短排查路径
先用 ss 看监听地址，再在本机 curl；本机通了，就查系统防火墙与云端入站规则；Docker服务再核对端口映射；仍找不到原因，最后用 tcpdump 判断数据包在哪一层消失。
这个顺序能把问题快速分层。不要一会儿改安全组，一会儿改 Nginx，又同时重启容器，否则即使恢复，也很难知道是哪一步真正起作用。
常见问题
问：端口监听在127.0.0.1能从公网访问吗？
答：不能直接访问，需要改监听地址或通过本机反向代理转发。
问：安全组放行后为什么仍然超时？
答：还需检查系统防火墙、应用监听、Docker映射和公网IP是否正确。
问：TCP端口放行后UDP也能用吗？
答：不能，TCP和UDP是不同协议，需要分别配置和测试。
问：可以关闭防火墙排查吗？
答：不建议长期关闭，优先添加范围明确的临时规则并查看日志。
问：网站能打开但某个API端口不能访问怎么办？
答：分别测试对应监听端口、反向代理路径、防火墙规则和应用日志。
温馨提示
端口访问问题要按链路排查：应用监听、本机访问、系统防火墙、云端规则、容器映射、公网网络。每改一处就重新测试并记录结果。
开放端口之前先判断它是否真的需要面向公网。对数据库和管理后台来说，限制来源往往比单纯实现可访问更重要。
