本机 netstat 显示 LISTEN，外部超时

看到监听状态，我第一反应是服务没问题，问题在防火墙。清了一遍规则，外部还是超时。

后来才发现，服务绑的是 127.0.0.1，外部根本进不来。监听只是本机的状态，不等于对公网开放。那次重启了三次服务，全是白费。

监听地址先看清楚

0.0.0.0 表示所有 IPv4 地址，127.0.0.1 只有本机，:: 是 IPv6，行为还要看系统是否开启双栈。

很多框架默认只绑本地，改配置时容易忽略。改监听地址要重启服务才生效，用 ss -lntp 能看到绑定地址，比翻配置文件快。配置文件里写 * 也可能只绑 v4，这些细节很坑。有的服务同时监听 v4 和 v6，有的只监听一个。

在宝塔拨测的 TCP 测速里先测一次，如果全部超时，再回去看监听，比一上来就翻防火墙快。

TCP 检测：填域名和端口，多节点看连通与握手耗时

TCP 检测：填域名和端口，多节点看连通与握手耗时

路径上的拦截

安全组、系统防火墙、云 WAF，任何一层没放行都会超时。云厂商的安全组和系统防火墙是两套，得分别看。规则有方向，入站和出站都要确认，只放行出站没用。端口范围写错也常见，比如只写了单个端口，却要测一段。

超时和拒绝含义不同：拒绝通常是对方明确回了 RST，超时更像被静默丢弃。

这一点能帮你判断是服务没开、端口没映射，还是策略在拦，方向差很远。

公网 IP 和映射

云主机有内网 IP 和公网 IP，有的环境还要经过 NAT 或端口映射。

映射写错端口，外部就连不到服务。映射表要核对内外端口，有的映射改了内网端口，公网端口不变，内部变了，外部看起来就是超时。

多网卡、多 IP 的机器，服务绑在哪张网卡上，也要确认。

只允许特定来源

白名单只放行了办公网，外部探测当然超时。

这类配置在日志里往往有痕迹，或者能查到规则。先看策略，再怀疑网络。白名单里加了旧办公 IP、新 IP 没加，人一换地方就出事，建议按网段配，维护成本低很多。

多节点验证与复测

用多地区多运营商节点测，看是全部超时还是局部。

全部超时，偏监听和策略；只有某地超时，偏线路，这个分法很实用。

改完复测，确认原来失败的节点恢复，再连测两三次看稳定性。别只看本机。报告里写清测试节点和运营商，截图留档，以后对比有依据。这类问题会反复出现，尤其是换机房、换云厂商时，提前检查一遍能省很多事，文档里也写上这些位置。

顺序对了，这类问题通常半小时内就能定位。