| 方向 | 先确认方向（入站/出站）与五元组，再逐层核对策略 |
|---|---|
| 证据 | iptables -v 计数器、firewalld 日志、云平台流日志（如有） |
| 要点 | NAT 环境注意策略匹配的是 NAT 前还是 NAT 后地址 |
主机侧看规则与命中计数
主机侧看规则与命中计数
sudo iptables -L INPUT -n -v --line-numbers | head -30
sudo iptables -t nat -L -n -v | head -30
sudo firewall-cmd --list-all 2>/dev/null || sudo ufw status verbose层次 / 看什么 / 常见坑
| 层次 | 看什么 | 常见坑 |
|---|---|---|
| 云安全组 | 入站规则、关联实例 | 只改了入站没改出站（部分云出站也控） |
| 云 NACL | 子网级无状态规则 | 无状态：回包端口也要显式放行 |
| 网络防火墙 | 策略路由与会话表 | 非对称路由导致会话不匹配 |
| 主机防火墙 | iptables/firewalld/ufw/Windows FW | 默认 DROP 与新端口未放行 |
| 应用白名单 | Nginx allow/deny、应用 ACL | 进程级拦截日志在应用侧不显眼 |
用「计数器增量」定位：执行一次测试请求，然后对比执行前后 iptables -v 的 pkts 变化，命中的就是拦截规则。