腾讯云IP不通；问题常出在安全组

ping 一下没回显，telnet 换个端口过去，连接又被顶回来。碰到这种场面，第一反应通常是机器崩了、机房出事了，但多数时候那台云主机活得好好的，ssh 还能进，网页也能打开，只是外面的包被挡在了门口。腾讯云ip不通这类问题我帮人看过不少次，最后追下去，大半都落在安全组上——不是规则没加，就是加错了地方，还有一种是加了但没生效。

腾讯云ip不通，先把安全组入方向翻一遍

安全组是白名单思路，默认不放行，这跟本机防火墙的默认策略是两码事。新建实例的时候如果随手选了个模板，或者干脆一条规则都没挂，那除了模板里自带的几条，别的端口一律进不来。表现挺有迷惑性：22 端口能进，所以你觉得网络没问题；80 和 443 连不上，于是转头去查 nginx。其实先去控制台把实例绑定的安全组找出来，看入方向到底放行了哪些端口、协议有没有写对。TCP 和 ICMP 是两个不同的协议，只加了 TCP 80，ping 依然不通，这属于正常现象，不算故障。想把 ping 当探针用，就得单独放行 ICMP。

出方向全拒了，会出现能收不能回的怪现象

入方向放开了，出方向却是一条全拒绝，这时候外面的请求能进来，服务器的响应发不出去，从外侧看依旧是“不通”。这种半吊子状态最费时间，因为服务器上的日志能看到请求进来了，你会认定是应用层的问题，去翻配置翻半天，翻到最后才发现包根本没出去。我自己习惯是先确认出方向是不是允许全部，或者至少把回包方向放开了。云厂商给的默认模板一般会留口子，但自己动手改过规则之后忘了这茬的，不在少数。

源地址那栏，写错的人比想象里多

0.0.0.0/0 是最省事也最危险的写法，测试阶段用一下无妨，长期挂在那儿等于门一直开着。反过来也有写太窄的：把源地址填成实例自己的内网地址、填成域名、掩码写成 /32 但 IP 少写一位，规则看着在列表里躺着，实际一个包都匹配不上。还有一种更隐蔽的——把 IPv4 的规则填进了 IPv6 那一栏，然后纳闷为什么没反应。控制台里两个标签长得像，点错了不容易察觉。填之前把客户端出口 IP 确认清楚，动态出口的（比如走代理、走公司 NAT）隔一段时间会变，昨天能用的规则今天就不灵了，这也是常见的一类。

改完没生效，先确认改的是哪台机器

安全组是绑在实例或者实例组上的，不是绑在镜像、不是绑在某个项目名下。有回帮人排查，他在控制台里翻来覆去改规则，改的是同名的另一台机器，那台是测试环境闲置的，生产那台压根没动过。也有改完忘了点保存的，有安全组被多个实例共享、改了 A 顺带影响 B 的。动手之前把实例 ID 和安全组 ID 对一遍，改完刷新页面再看规则列表，别只看弹窗那一下提示。顺手说一句，换机器、换可用区的时候，老实例上那套规则不会自动跟过去，得手动复制，这点在迁移的时候特别容易漏。

端口通没通，三段命令比猜靠谱

别靠感觉。第一段先用 ping，能回显说明三层网络和 ICMP 规则没问题；第二段 telnet ip 端口，或者 nc -zv ip 端口，重点看返回的是 connection refused 还是 timeout——refused 一般是服务没起或者本机防火墙拒了，timeout 更像包被安全组或上层设备吞掉了；第三段登到服务器上 curl -I http://127.0.0.1:端口，确认服务自己在监听。三段走完，问题落在哪一层基本就分清了。用 nc 的时候记住加 -v 看详细输出，光看退出码有时候会误判。

ping 通但页面打不开，方向要换一换

这种情况多半是 ICMP 放行了、TCP 没放行，规则列表里只有一条 icmp 在撑着门面。还有一种更绕的：服务只监听了 127.0.0.1，没监听 0.0.0.0，包进来了却没人接，外面看永远是不通。查一下 netstat -tlnp 里的监听地址，很容易看出来。另外链路 MTU 的问题也会骗人——小包能过去、大包被丢，表现就是 ping 通、握手也成、页面加载到一半卡死。这种不太好查，一般先用 ping -M do -s 逐步加包长试一下，能定位到具体在哪一跳卡住。

安全组之外，还有几层在挡

本机的 firewalld、ufw、iptables 第一个看，systemctl status firewalld 一眼就明白。云防火墙、高防、负载均衡各挂一套规则，两套得同时放行，只改一边等于白改。域名解析如果还指着旧 IP，那你连的根本不是这台机器，dig 一下就能确认。VPC 路由、对端白名单、运营商侧的限制这些不常见，但都真实碰到过。排查顺序上，从离你最近的一层往下推，比一头扎进应用日志要快得多。

规则收紧这件事，别等出事才做

安全组开得松，短期省事，长期就是隐患。管理类端口，22、3389、3306 这些，能限源 IP 就限源 IP，确实要公网访问的，至少换个非默认端口、只开密钥登录。业务端口按需开，测完的临时规则记得删掉，别让它半年后还在列表里躺着。规则优先级、默认拒绝策略这些细节，各家的表述略有差别，以服务商控制台的说明和官方文档为准，别照着二手文章照抄。真要图省事，就把规则写成几条明确的用途，命名清楚，下次接手的人——可能就是半年后的你自己——能看懂。

下次再撞上腾讯云ip不通，按这个顺序捋：控制台确认实例和安全组 ID，看入方向端口和协议，看勾出方向有没有全拒，核对源地址和掩码，再查本机防火墙、服务监听地址、域名解析指向。通常走到第三第四步就有答案了。全套走完还是不通，把实例 ID、安全组 ID、你测试用的源 IP 和端口一起写进工单，比甩一句“服务器连不上”能省好几轮来回。