微服务网关端口转发不通的本质是请求未到达后端服务，需按流量路径逐层排查：网关监听、请求接收、转发逻辑、后端可达性、防火墙放行。
微服务网关端口转发不通，本质是请求没走到后端服务。排查要顺着流量路径一层层确认：网关是否监听、是否收到请求、是否正确转发、后端是否可达、防火墙是否放行。
确认网关进程监听正确端口
先看网关服务（如 Spring Cloud Gateway、Kong、Nginx 或自研网关）是否真正在目标端口上监听，且绑定的是通配地址：
- 运行
ss -tuln | grep :10010（以常见网关端口 10010 为例），输出中第二列应为*:10010或0.0.0.0:10010；若显示127.0.0.1:10010，说明只接受本地访问，需修改网关配置中的host或bind项 - 用
lsof -i :10010确认进程名和 PID，避免端口被其他程序意外占用 - 检查网关配置文件（如
application.yml或nginx.conf），确认监听地址未写死为localhost，路由规则中目标服务名（如trade-service）拼写准确、服务发现可用
验证网关本机可连通且能转发
绕过网络和防火墙，在服务器本地测试网关是否正常工作：
linux-performance-analyzer
下载
Linux 性能分析与调优专家，覆盖 CPU、内存、磁盘 I/O、网络、内核参数、编译优化、容器/K8s。适用场景：系统卡顿/高负载、内存不足/OOM/Swap 高、CPU 异常/iowait 高。
- 执行
curl -v http://127.0.0.1:10010/ts/orders/1，观察是否返回后端响应或明确错误（如 503、404）。成功说明网关自身逻辑与路由基本正常 - 若本地失败，查网关日志（如
journalctl -u gateway-service -n 50或日志文件），重点关注连接超时、DNS 解析失败、服务注册中心不可达等提示 - 若本地成功但外部失败，问题一定出在网络路径或系统级拦截，不是网关配置本身
检查 iptables/nftables 或 firewalld 是否拦截
Linux 系统防火墙可能在网关收包前就丢弃了流量：
- 查当前启用的防火墙：运行
systemctl status firewalld（RHEL/CentOS）、sudo nft list ruleset（较新 Debian/Ubuntu）或sudo iptables -L INPUT -n -v - 确认目标端口（如 10010）在 INPUT 链中有显式
ACCEPT规则；注意规则顺序——默认 DROP 策略下，放行规则必须在 DROP 前生效 - 云服务器务必同步检查安全组（如阿里云控制台 > 安全组 > 入方向规则），它比系统防火墙更前置，常被忽略
抓包定位转发卡在哪一环
当以上都看似正常但仍不通，用 tcpdump 直观验证流量走向：
- 在网关服务器上执行：
sudo tcpdump -i any port 10010 -nn，然后从客户端发起请求。若无任何输出，说明请求根本没到达服务器（网络层或安全组拦截） - 若有进包但无出包（比如看到 SYN 进来，没看到网关发往后端服务的 SYN），说明网关未触发转发逻辑，可能是路由匹配失败、服务名解析失败或健康检查不通过
- 若有出包发往后端 IP（如
192.168.150.101.3306），再在后端机器上抓该端口的包，确认是否真正抵达
