汤不热吧很多个人站长在使用VPS或公有云虚拟机部署网站时，经常遇到一个令人沮丧的问题：我在宝塔或其它控制面板里明明把 80 端口放行了，为什么网站还是打不开？
答案是肯定的，你猜对了：服务商后台确实还有一层甚至多层防火墙！
要解决80端口不通的问题，我们必须像剥洋葱一样，对服务器的三个主要防御层进行逐一排查。
1. 端口不通的“三层防御”理论
在一个标准的云服务器环境中，端口被拦截通常发生在以下三个层面：
第一层：云服务商的安全组/网络ACL（最容易被忽略）
这是你怀疑的“服务商后台的防火墙”。无论是阿里云、腾讯云还是海外的DigitalOcean、Linode，它们都在虚拟机外部设置了安全组（Security Group）或网络ACL。这是最外层的网络策略，如果在这里没有放行 80 端口，流量根本到不了你的虚拟机内部。
第二层：控制面板或软件防火墙
这是你操作过的面板层面（如宝塔面板、cPanel等）提供的防火墙功能。它通常是基于 Linux 系统内置的防火墙工具（如 iptables 或 firewalld）进行管理和图形化展示。
第三层：操作系统原生防火墙（如UFW或firewalld）
这是系统内核级别的防火墙。如果你的控制面板没有完全接管系统防火墙，或者面板配置失误，原生防火墙可能依然在运行，并拒绝连接。
2. 实操排查步骤与代码示例
我们从服务器内部开始，逐步向外部排查。
步骤一：确认Web服务是否正在运行
端口不通，首先要确认服务是否监听了该端口。如果服务本身没启动，端口自然是关闭的。
使用 systemctl 检查你的Web服务（Nginx或Apache）状态：
# 检查Nginx状态
sudo systemctl status nginx
# 检查Apache状态
sudo systemctl status httpd
如果状态显示为 active (running)，说明服务正常。如果服务未运行，则需要启动它：
# 启动Nginx并设置开机自启
sudo systemctl start nginx
sudo systemctl enable nginx
同时，使用 netstat 或 ss 确认端口 80 是否被监听：
# 检查端口80是否被监听
sudo ss -tlnp | grep 80
如果看到类似 LISTEN 0.0.0.0:80 的输出，说明服务已监听端口。
步骤二：检查操作系统内部防火墙
如果你的系统是 Ubuntu/Debian，通常使用的是 UFW。
1. 查看 UFW 状态和规则：
sudo ufw status verbose
2. 确保 80 端口已放行：
如果状态显示为 active 且 80 端口规则不存在或被拒绝（DENY），则需要手动放行：
# 允许TCP协议的80端口流量
sudo ufw allow 80/tcp
# 重新加载防火墙规则
sudo ufw reload
对于 CentOS/RHEL 系统，如果使用 firewalld，命令如下：
# 允许http服务（默认使用80端口）
sudo firewall-cmd --zone=public --add-service=http --permanent
# 重新加载规则
sudo firewall-cmd --reload
步骤三：检查云服务商的安全组（核心解决点）
这是大多数站长遗漏的关键步骤。您必须登录到您的云服务商（如阿里云控制台、腾讯云控制台、AWS EC2 Console等）的后台界面，找到您的虚拟机实例对应的安全组配置。
操作要点：
- 找到该安全组的入站规则（Inbound Rules）。
- 确认是否有一条规则是：协议类型 TCP，端口范围 80/80，授权对象/来源 0.0.0.0/0（表示所有IP可访问）。
- 如果没有，请立即添加该规则并保存。
步骤四：从外部测试连通性
完成以上配置后，在您本地的电脑上，使用 telnet 或 nc (Netcat) 对服务器进行端口连通性测试。将 your_vps_ip 替换为你的服务器公网IP。
# Windows/Linux/macOS 均可使用
telnet your_vps_ip 80
- 如果成功： 终端会显示类似 Connected to your_vps_ip，说明端口已经开放，问题解决。
- 如果失败： 终端会显示 Connection refused 或 Connection timed out，说明前面提到的三层防火墙中，至少有一层还在拦截流量，请再次仔细检查安全组配置。