| 排查层次 | 安全组（有状态）→ 网络 ACL（无状态，需双向放行）→ 路由表 → NAT/网关 → 实例内防火墙 |
|---|---|
| 平台工具 | 流日志（Flow Logs）、连接日志、网关指标、云端抓包、健康检查 |
| 实例侧 | ip -br addr、ip route、ss、tcpdump 常规套件 |
实例侧取证
实例侧取证
ip -br addr; ip route
ss -tlnp | grep -E ':80|:443'
# 云主机元数据服务（用于确认实例身份/网络信息，注意不同云厂商地址不同）：
curl -sS -m 2 http://100.100.100.200/latest/meta-data/ 2>/dev/null | head -5无状态网络 ACL 是云上最常踩的坑：出站放行不代表回包能进来，必须显式放行返回方向；一旦漏配，表现为『能发包但收不到响应』。