华为云80端口访问全链路排查：从安全组到防火墙的深度避坑指南

最近在华为云上部署Web服务的朋友，估计不少人遇到过这个经典问题：明明在控制台安全组里已经放行了TCP 80端口，Nginx也正常启动监听了，可网站就是死活访问不了。浏览器转了半天，最后给你一个“连接超时”或者“无法访问此网站”的提示。这种时候，你可能会怀疑是不是华为云有问题，或者自己的配置哪里写错了，反复检查安全组规则，确认Nginx配置，但问题依旧。

实际上，这个问题背后隐藏着一个在云服务器配置中非常典型，却又容易被忽视的“双保险”机制——云平台安全组和操作系统防火墙。很多初次接触云服务器的开发者，往往只注意到了前者，而忽略了后者，结果就掉进了这个坑里。我自己在早期使用华为云时也踩过这个坑，后来才明白，这两者其实是独立运作、相互补充的两道防线。今天，我就结合自己的实战经验，为你梳理一份从外到内、层层递进的80端口访问全链路排查指南，帮你彻底搞懂这个“双保险”机制，避免再走弯路。

1. 理解云服务器的“双保险”安全模型

在深入排查之前，我们首先要建立一个清晰的认知模型：当你在华为云上创建一台ECS（弹性云服务器）时，你的网络流量实际上需要穿越两道独立的“关卡”才能到达最终的应用。

第一道关卡：云平台安全组（Security Group） 这是华为云提供的一种虚拟防火墙，作用于云服务器实例的虚拟网卡级别。你可以把它想象成大楼入口处的保安，他根据你制定的访客名单（安全组规则）来决定是否放行外部请求。安全组的规则是定义在云平台控制层面的，与服务器内部运行的操作系统完全无关。

第二道关卡：操作系统防火墙（如Firewalld、iptables） 这是运行在你云服务器操作系统内部的软件防火墙。它就像是每个房间门上的锁，即使访客通过了楼下的保安，还需要有房间的钥匙才能进入。在CentOS 7、EulerOS等Linux发行版中，firewalld通常是默认启用的防火墙服务。

这两道关卡的关系是串联的，而非并联。一个来自公网的HTTP请求，其完整的访问路径如下：

公网用户 -> 互联网 -> 华为云网络边界 -> [第一关：安全组] -> 云服务器虚拟网卡 -> 操作系统网络栈 -> [第二关：系统防火墙] -> 应用进程（如Nginx）

只有顺利通过这两道关卡，请求才能被你的Nginx服务处理并响应。任何一关的阻拦，都会导致访问失败。这就是为什么只配置了安全组，而没处理系统防火墙，网站依然无法访问的根本原因。

为了更直观地理解这个流程，以及后续排查的步骤，我们可以参考下面的排查决策路径：

flowchart TD
    A[用户无法通过80端口访问网站] --> B{检查华为云安全组规则};
    B -- 规则缺失或错误 --> C[在控制台添加入方向<br>TCP/80端口规则];
    B -- 规则已正确配置 --> D{登录ECS检查Nginx服务};
    D -- 服务未运行 --> E[启动Nginx服务<br>systemctl start nginx];
    D -- 服务已运行 --> F{检查80端口监听状态};
    F -- 未监听或监听地址错误 --> G[修改Nginx配置<br>确保监听0.0.0.0:80];
    F -- 监听正常 --> H{检查系统防火墙状态};
    H -- 防火墙未运行 --> I[问题可能在其他环节<br>如路由、WAF等];
    H -- 防火墙运行中 --> J{检查80端口是否放行};
    J -- 端口未放行 --> K[放行80端口<br>firewall-cmd --add-port];
    J -- 端口已放行 --> L[重新加载防火墙规则<br>firewall-cmd --reload];
    
    C --> M[重新测试访问];
    E --> M;
    G --> M;
    K --> L --> M;
    I --> M;
    
    M -- 访问成功 --> N[问题解决];
    M -- 仍然失败 --> O[进入深度排查<br>（检查路由、WAF、负载均衡等）];

接下来，我们就沿着这个决策路径，从最外层开始，一步步进行排查。

2. 第一关：彻底检查与配置华为云安全组

安全组是流量进入云服务器的第一道大门。很多新手容易在这里配置失误。登录华为云控制台，找到你的目标ECS实例，进入“安全组”页签。你需要重点关注入方向规则。

一个典型的、允许公网访问Web服务的80端口安全组规则应该包含以下关键属性：

参数	推荐配置值	说明
协议端口	TCP:80	协议类型为TCP，端口范围填写80。如果只写“80”，默认也是TCP。
源地址	0.0.0.0/0	表示允许所有IPv4地址访问。如果只想对特定IP开放，可改为如 123.123.123.123/32。
策略	允许	必须为“允许”。
优先级	1	数字越小优先级越高。确保这条规则的优先级高于可能存在的“拒绝所有”的规则。

注意：安全组规则是白名单机制。如果入方向没有任何允许规则，那么所有外部访问都会被拒绝。另外，安全组规则变更通常是实时生效的，无需重启实例。

常见坑点：

• 只配置了出方向规则：误以为配置了出方向，服务器就能响应外部请求。实际上，入方向规则才是控制外部流量能否进来的关键。
• 源地址限制过严：如果你在办公室或家庭网络调试，IP可能是动态变化的。设置为 0.0.0.0/0 在测试阶段可以避免因IP变化导致的访问失败。
• 优先级冲突：如果存在一条低优先级（如100）的“拒绝所有”规则，而你的80端口规则优先级是50，那么拒绝规则先生效，80端口依然不通。确保允许规则的优先级更高。

配置或确认无误后，可以暂时跳过第二关的防火墙，用一个快速命令从外部测试安全组是否已放行：

# 在你的本地电脑上执行，将 `your_server_ip` 替换为你的ECS公网IP
telnet your_server_ip 80
# 或者使用更常见的 nc 命令
nc -zv your_server_ip 80

如果命令显示连接成功或端口开放，说明安全组这关过了。如果超时或拒绝，请再次仔细核对安全组规则。

3. 第二关：深入操作系统内部——服务、监听与防火墙

通过SSH登录到你的华为云ECS服务器，我们现在开始检查服务器内部的状况。这里的排查需要按照顺序进行：先确保服务活着，再确认它在正确监听，最后看防火墙是否放行。

3.1 确认Nginx服务状态与端口监听

首先，检查Nginx服务是否真的在运行：

systemctl status nginx

你期望看到的回显关键信息是 Active: active (running)。如果状态是 inactive (dead) 或 failed，你需要启动它：

systemctl start nginx
systemctl enable nginx  # 设置为开机自启，避免重启后服务丢失

服务运行后，下一步是确认Nginx是否真的在监听80端口，并且监听地址是否正确：

netstat -tlnp | grep :80
# 或使用 ss 命令，更推荐
ss -tlnp | grep :80

健康的输出应该类似于：

tcp    LISTEN   0   128   0.0.0.0:80   0.0.0.0:*   users:(("nginx",pid=1234,fd=6))

这里最重要的是 0.0.0.0:80，它表示Nginx正在所有网络接口（包括公网、内网）的80端口上监听。如果显示的是 127.0.0.1:80（仅本地回环），那么外部请求是无法到达的，你需要修改Nginx的配置文件（通常是 /etc/nginx/nginx.conf 或 /etc/nginx/conf.d/default.conf 中的 listen 指令）。

3.2 攻克核心难点：系统防火墙（Firewalld）配置

这是最常被遗忘的一环。检查防火墙是否启用：

systemctl status firewalld

如果显示 Active: active (running)，说明防火墙正在运行。接下来，检查80端口是否在放行列表中：

firewall-cmd --list-ports
# 或者查看所有开放的服务和端口详情
firewall-cmd --list-all

如果在输出中没有找到 80/tcp，你需要手动添加规则并重载防火墙使其生效：

# 添加永久规则（--permanent 参数使规则在重启后依然有效）
firewall-cmd --permanent --add-port=80/tcp
# 重新加载防火墙配置，使新规则立即生效
firewall-cmd --reload
# 再次验证端口是否已添加
firewall-cmd --query-port=80/tcp

如果最后一条命令返回 yes，恭喜你，防火墙这关也过了。

关于防火墙的进阶选择： 对于测试环境或内部服务，有些人会选择直接关闭防火墙来快速解决问题：

systemctl stop firewalld          # 立即停止防火墙
systemctl disable firewalld       # 禁止开机启动

警告：在生产环境中，强烈不建议直接关闭防火墙。这会使你的服务器暴露在更多风险之下。正确的做法是只开放必要的端口（如80, 443, 22），并保持防火墙开启。

如果你的系统使用的是较老的 iptables，而非 firewalld，排查思路类似，命令不同。可以通过 systemctl status iptables 检查，并使用 iptables -L -n 查看规则，用 iptables -I INPUT -p tcp --dport 80 -j ACCEPT 添加规则，然后 service iptables save 保存。

4. 进阶排查与深度避坑指南

如果按照上述“双保险”模型检查完毕，问题依然存在，那么我们需要将视线投向一些更隐蔽的环节。这些情况相对少见，但一旦发生，排查起来更费周折。

4.1 网络ACL与子网路由策略

安全组是绑定在弹性网卡上的，而在VPC（虚拟私有云）网络中，流量从公网到达你的服务器网卡之前，还可能经过网络ACL（访问控制列表）的过滤。网络ACL是子网级别的无状态防火墙，它也有自己的入站和出站规则。

• 如何排查：进入华为云VPC控制台，找到你的ECS实例所在的子网，查看其关联的网络ACL规则。确保其中有一条优先级较高的、允许任意源访问目标TCP 80端口的入方向规则。
• 与安全组的区别：安全组是“允许”默认（无规则则拒绝），而早期配置的网络ACL可能是“拒绝”默认（无规则则允许）。务必检查是否有显式的拒绝规则。

4.2 负载均衡器与Web应用防火墙（WAF）的干扰

如果你的网站架构中使用了华为云的弹性负载均衡（ELB） 或 Web应用防火墙（WAF），那么公网流量可能不是直接到达你的ECS，而是先经过这些中间件。

• 负载均衡器监听器配置：检查ELB的监听器是否正确配置了前端端口（如80）和后端服务器组的健康检查。如果健康检查失败，ELB会将你的服务器从后端池中移除。
• WAF防护域名配置：WAF默认防护80和443端口。如果你为域名配置了WAF，但WAF的防护策略过于严格（如误拦截），或者域名解析未正确指向WAF的CNAME地址，都可能导致访问异常。你需要登录WAF控制台，检查防护域名的配置和访问日志。

4.3 应用层配置与内核参数

有时候，问题不在网络层面，而在应用或系统本身。

• Nginx配置错误：检查Nginx的 server_name 是否正确，是否存在语法错误（用 nginx -t 测试）。确认没有其他配置（如 deny all;）阻止了访问。
• 连接数限制：检查系统内核参数 net.core.somaxconn（TCP连接队列大小）和 net.ipv4.tcp_max_syn_backlog（SYN队列大小）。在超高并发场景下，这些值过小可能导致新连接被丢弃。可以通过 sysctl -a | grep maxconn 查看，并在 /etc/sysctl.conf 中修改。
• 云服务器资源瓶颈：通过 top 或 htop 命令查看CPU、内存使用率。如果资源耗尽，系统可能无法正常处理新连接。

5. 构建系统化的排查与验证工作流

经过以上层层剖析，你应该对80端口访问不通的问题有了全面的认识。为了避免未来再次陷入类似的困境，我建议你养成一个系统化的排查习惯，并掌握几个高效的验证工具。

推荐的系统化排查清单：

1. 外网连通性：ping ECS公网IP（注意有些云服务器默认禁ping，不通不代表有问题），telnet IP 80。
2. 安全组：控制台核对入方向80端口规则（协议、端口、源IP、策略、优先级）。
3. 服务状态：systemctl status nginx。
4. 端口监听：ss -tlnp | grep :80，确认监听地址为 0.0.0.0。
5. 系统防火墙：systemctl status firewalld，firewall-cmd --list-ports。
6. 网络ACL（如有）：VPC控制台检查子网关联的ACL入站规则。
7. 中间件（如有）：检查ELB监听器状态、WAF防护策略和日志。
8. 应用日志：tail -f /var/log/nginx/access.log 和 error.log，看是否有请求到达或错误信息。

实用的内外网验证命令：

• 外部视角验证：使用在线端口扫描工具（需谨慎，确保你有权限扫描自己的服务器），或在另一台网络环境不同的机器上执行 nc 或 telnet 命令。
• 内部视角验证：在ECS服务器内部，用 curl http://localhost 或 curl http://[服务器内网IP] 测试。如果内部能通而外部不通，问题一定出在网络层面（安全组、防火墙、ACL、路由）。

说到底，在云上部署应用，理解其网络和安全模型是基本功。华为云安全组和系统防火墙构成的“双保险”，本质上是为了提供更精细、更立体的安全防护。初期踩坑不可避免，但每一次排查问题的过程，都是对云网络架构理解的一次深化。希望这份融合了原理、步骤和实战经验的指南，能帮你扫清障碍，让流量顺畅地抵达你的应用。