安全组是云平台网络层控制机制，Linux系统无法直接查看或修改；需通过云控制台验证规则、用外部工具测试连通性，并结合ss、tcpdump等命令排除系统内部干扰。
安全组本身不运行在 Linux 系统内部，它属于云平台（如腾讯云、阿里云、AWS）的网络层控制机制，Linux 系统无法直接“看到”或“修改”安全组规则。但你可以通过系统内操作，**间接验证安全组是否生效、是否构成访问阻断**。关键在于分清边界：安全组管“云网络入口”，系统防火墙管“本机入口”，服务监听管“应用层响应”。排查要从外向内、层层剥离。
先确认安全组是否放行目标端口
不要凭记忆或截图判断——登录云厂商控制台，进入对应实例的安全组详情页，逐条检查入站（Inbound）规则：
- 协议类型是否匹配（如 Web 服务需 TCP，不是 UDP 或 ALL）
- 端口范围是否精确覆盖（如 80、443，或 8080-8090，而非只写 8080 却漏掉 8081）
- 源 IP 段是否包含你的访问来源（常见错误是填了 192.168.1.0/24，但你实际公网 IP 是 203.208.x.x）
- 规则方向是否选错（把“入站”误配成“出站”，这类规则完全不生效于外部访问）
建议用云平台自带的“安全组规则诊断”工具（如腾讯云的“一键检测”或阿里云的“安全组规则检测”），输入你的公网 IP 和目标端口，它会明确返回“已开通”或“未开通”，比人工核对更可靠。
用端口连通性测试隔离安全组影响
在 Linux 实例内部执行以下命令，可帮你快速区分问题出在安全组还是系统内部：
- 本地回环测试：curl -I http://127.0.0.1 或 telnet 127.0.0.1 80 —— 若通，说明服务已启动且监听正常
- 局域网地址测试（如有）：curl -I http://内网IP:80 —— 若通但公网不通，大概率是安全组或公网IP未绑定
- 外网端口探测（需从外部发起）：用手机热点或另一台云服务器执行 telnet 公网IP 80 或 nc -zv 公网IP 443 —— 若超时或拒绝连接，而安全组又确认配置无误，则需怀疑是否被 ACL、IP 封禁或 EIP 解绑
注意：Linux 上的 telnet 或 nc 测试必须从**实例外部**发起才有意义；在本机上测公网IP，走的是 NAT 回环路径，结果不可靠。
排除安全组之外的同级干扰项
安全组不是唯一可能拦路的网络策略。同一层级还需同步检查：
- 网络 ACL（子网级防火墙）：它优先级高于安全组，且规则按序号严格匹配。即使安全组全开，ACL 中一条“拒绝所有”的高优规则也会直接丢包。登录 VPC 控制台，查看该子网关联的 ACL 是否放行对应端口和方向
- 弹性公网 IP（EIP）状态：检查 EIP 是否仍绑定到该实例，是否被意外解绑或释放。没有 EIP，公网流量根本到不了安全组
- 路由表配置：私有子网实例若需响应公网请求，其所在子网的路由表必须有指向 Internet 网关（IGW）的 0.0.0.0/0 路由；否则响应包发不出去，表现为“能连上但页面空白”或“连接重置”
结合系统日志与连接状态缩小范围
虽然安全组日志不落 Linux 系统，但你可以借助系统行为反推：
- 执行
ss -tlnp | grep :80，确认服务监听的是0.0.0.0:80而非127.0.0.1:80；后者表示仅限本地访问，安全组再开放也无用 - 用
tcpdump -i eth0 port 80抓包：若外部请求完全没出现在抓包结果中，说明流量在到达网卡前就被安全组或 ACL 拦截；若能看到 SYN 包进来但无 ACK 响应，可能是系统防火墙（iptables/firewalld）拦截 - 检查
journalctl -u your-web-service，确认服务未因配置错误崩溃退出，导致端口看似“空闲”
