浏览器 / 客户端     │     ├─ ① DNS 解析：域名 → IP     │    工具：dig / nslookup / cat /etc/resolv.conf     │     ├─ ② 三层联通：本机 → 目标 IP     │    工具：ping / traceroute / mtr     │     ├─ ③ 四层联通：本机 → 目标 IP:端口     │    工具：telnet / nc / curl     │     ├─ ④ 服务端防火墙：包能不能进到应用     │    工具：iptables-save / nft list ruleset / ufw status     │     ├─ ⑤ 应用监听：端口是不是真的在听     │    工具：ss -lntp / netstat -lntp     │     └─ ⑥ 应用本身：能不能正确处理请求          工具：tail -f 应用日志

127.0.0.0/8           回环（127.0.0.1 是 localhost）10.0.0.0/8            私网 A 段（云上 VPC 常用）172.16.0.0/12         私网 B 段（Docker 默认 bridge 在 172.17.x）192.168.0.0/16        私网 C 段（家庭路由 / 小办公网）169.254.0.0/16        链路本地（DHCP 失败时自分配，云上元数据 169.254.169.254）0.0.0.0/0             "任意 IP"，防火墙规则里常出现

bash
# 看所有网卡 + IPip addrip a            # 简写# 1: lo: <LOOPBACK,UP,LOWER_UP> ...#     inet 127.0.0.1/8 scope host lo# 2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> ...#     inet 10.0.0.5/24 brd 10.0.0.255 scope global eth0# 看路由表ip routeip r# default via 10.0.0.1 dev eth0 proto dhcp# 10.0.0.0/24 dev eth0 proto kernel scope link src 10.0.0.5# 看 ARP 缓存ip neighip n# 10.0.0.1 dev eth0 lladdr 00:50:56:01:23:45 REACHABLE# 临时给网卡加 IP（重启失效）sudo ip addr add 10.0.0.99/24 dev eth0# 加路由sudo ip route add 192.168.10.0/24 via 10.0.0.254

0-1023        Well-known，特权端口（**绑定需要 root**）              80 http / 443 https / 22 ssh / 53 dns / 25 smtp1024-49151    Registered，注册端口              3306 mysql / 6379 redis / 5432 postgres / 8080 http-alt49152-65535   Dynamic，动态端口（客户端连接时内核自动分配）

bash
ss -lntp# Netid   State   Local Address:Port   Peer Address:Port   Process# tcp     LISTEN  0.0.0.0:80           0.0.0.0:*           users:(("nginx",pid=1234,fd=6))# tcp     LISTEN  127.0.0.1:5432       0.0.0.0:*           users:(("postgres",pid=5678,fd=4))# tcp     LISTEN  0.0.0.0:22           0.0.0.0:*           users:(("sshd",pid=999,fd=3))# 参数含义# -l listening  只看监听# -n           不解析为服务名（数字显示）# -t           TCP# -u           UDP（看 UDP 加这个）# -p           显示进程# 看活跃的 TCP 连接ss -tnp# 看连接数ss -tan state established | wc -lss -tan state time-wait | wc -l

bash
# 看状态sudo ufw status verbose# Status: inactive    （表示还没启用）# 默认策略sudo ufw default deny incoming     # 默认拒绝入流量sudo ufw default allow outgoing    # 默认允许出流量# 放行常用服务（用名字，自动从 /etc/services 查端口）sudo ufw allow ssh                  # 等价 allow 22/tcpsudo ufw allow http                 # 80/tcpsudo ufw allow https                # 443/tcp# 按端口sudo ufw allow 8080/tcpsudo ufw allow 53                   # tcp + udp 都开（DNS 用）# 限定源 IP（只允许办公网访问 SSH）sudo ufw allow from 10.0.0.0/24 to any port 22# 启用sudo ufw enable# 第一次启用会警告：要确认 SSH 规则已放行，不然敲完 enable 会立刻被踢出去# 删规则sudo ufw status numbered# [ 1] 22/tcp ALLOW IN  Anywhere# [ 2] 80/tcp ALLOW IN  Anywheresudo ufw delete 2

bash
# 看状态sudo systemctl status firewalldsudo firewall-cmd --state# running# 看当前区域sudo firewall-cmd --get-default-zone# public# 看 public 区域开了什么sudo firewall-cmd --zone=public --list-all# services: ssh dhcpv6-client# ports:# ...# 放行服务sudo firewall-cmd --permanent --add-service=httpsudo firewall-cmd --permanent --add-service=https# 放行端口sudo firewall-cmd --permanent --add-port=8080/tcp# 限定源 IPsudo firewall-cmd --permanent --zone=trusted --add-source=10.0.0.0/24sudo firewall-cmd --permanent --zone=trusted --add-service=ssh# 重载生效（**必须 reload，否则只在运行时生效，重启就丢**）sudo firewall-cmd --reload# 删sudo firewall-cmd --permanent --remove-service=httpsudo firewall-cmd --reload

bash
sudotee /etc/nftables.conf <<'EOF'#!/usr/sbin/nft -fflush rulesettable inet filter {# 入站    chain input {type filter hook input priority 0; policy drop;# 1. 已建立 / 相关连接放行        ct state established,related accept# 2. 本机回环必须放行        iif lo accept# 3. ICMP（ping）放行        ip protocol icmp accept        ip6 nexthdr icmpv6 accept# 4. SSH 放行（建议限源 IP 段，二选一，不要同时启用）        tcp dport 22 ip saddr 10.0.0.0/24 accept       # 推荐：只允许内网网段# tcp dport 22 accept                          # 备选：公网全开放（仅在堡垒机/单机调试场景）# 5. HTTP / HTTPS 放行        tcp dport { 80, 443 } accept# 6. 其他全部 drop（已由 policy drop 兜底）# 默认 drop，所以不需要显式写    }# 出站（一般全放）    chain output {type filter hook output priority 0; policy accept;    }# 转发（如果不是路由器一般全 drop）    chain forward {type filter hook forward priority 0; policy drop;    }}EOF# 校验语法sudo nft -c -f /etc/nftables.conf# 启用sudo systemctl enable --now nftables# 看当前规则sudo nft list ruleset

bash
# Step 1：ping 通了ping -c 3 192.168.1.10# 3 packets transmitted, 3 received, 0% packet loss# → 三层 IP 联通没问题# Step 2：telnet 端口不通telnet 192.168.1.10 80# Trying 192.168.1.10...# telnet: Unable to connect to remote host: Connection refused

Connection refused        → 包到了主机，但没人监听 / 防火墙明确 rejectConnection timed out      → 包根本没到主机（中间链路阻断 / 防火墙 drop）

bash
# 上 192.168.1.10 看ssh 192.168.1.10ss -lntp | grep ':80'# 如果没输出 → 应用根本没监听# 如果有 LISTEN 127.0.0.1:80 → 监听了但只听本地# 看防火墙sudo ufw status                    # Ubuntusudo firewall-cmd --list-all       # CentOSsudo nft list ruleset              # nftables# 看应用日志sudo journalctl -u nginx --since "10 min ago"

bash
ping baidu.com         # 50mscurl -o /dev/null -s -w "%{time_total}\n" https://baidu.com   # 5s

bash
cat > /tmp/curl-format.txt <<'EOF'    DNS:        %{time_namelookup}s    Connect:    %{time_connect}s    TLS:        %{time_appconnect}s    First Byte: %{time_starttransfer}s    Total:      %{time_total}sEOFcurl -w "@/tmp/curl-format.txt" -o /dev/null -s https://example.com

                ┌─────────────┐互联网 ──→ ① 云安全组 ──→ ② OS 防火墙 ──→ ③ 应用监听                              │                       两层都通才行