逐层核对
逐层核对
iptables -L -nv --line-numbers | head -40
nft list ruleset | head -60
firewall-cmd --list-all 2>/dev/null || ufw status verbose
ss -tlnp | grep ':8080'
# 本机抓包：外部来访的 SYN 是否到达网卡：
tcpdump -ni any 'tcp port 8080 and tcp[tcpflags] & tcp-syn != 0' -c 5| 判据 | RST（Connection refused）= 主机可达但被拒；纯超时 = 大概率 DROP |
|---|---|
| 层次顺序 | 云安全组/网络 ACL → 主机 iptables/nftables → firewalld/ufw → SELinux/AppArmor |
| 云上要点 | 安全组未放行时，主机抓包连 SYN 都看不到 |
同一台机器可以同时存在 iptables 与 nftables 两套规则（nft 后端 + 遗留 iptables），排查时两边都要看，firewalld 又是它们的上层封装。