安全组、系统防火墙与端口放行
一个端口能从公网访问，通常需要产品允许、访问控制允许、系统允许，而且服务实际在监听。只添加一条防火墙规则不会自动启动应用。
| 层次 | 检查什么 |
|---|---|
| 产品规则 | 该产品是否允许所需端口和协议；住宅云禁止建站，80端口关闭，不支持域名和证书 |
| 产品提供的访问控制 | 如有安全组或云防火墙，检查入站来源、协议、端口及优先级 |
| 操作系统防火墙 | Windows防火墙或Linux实际使用的规则工具是否允许连接 |
| 服务监听 | 程序是否启动，监听的端口、IPv4/IPv6与地址是否符合预期 |
| 本地出口 | 公司网络、路由器或安全软件是否限制该连接 |
准备一份明确的放行需求
目标服务：
TCP或UDP：
实际目标端口：
需要访问的来源IP或网段：
是否需要公网访问：管理入口优先限制为自己的可信公网来源。网站等公共业务与管理端口的访问范围不同，不应把两者都一律设为所有端口、所有来源。
放行后的验证顺序
- 确认产品运行，IP和实际端口没有填错。
- 检查服务监听；Linux查看TCP可用
ss -lnt，UDP可用ss -lnu。 - 从允许来源测试真实端口和应用，Ping仅作辅助。
- 保留现有管理连接，用第二个连接验证成功，再清理不需要的临时规则。
具体系统配置示例见防火墙操作教程。没有云端安全组入口，不表示系统内部没有防火墙；也不能凭端口超时单独认定拦截发生在哪一层。