换端口或换域名后网站打不开，百分之九十九是端口映射没同步更新，或者新端口被防火墙挡住了，赶紧按本文顺序排查，大概率十分钟内解决。
换端口域名后打不开，先搞清楚问题出在哪一段
网站打不开是一个结果，但原因可能分布在域名解析、服务器防火墙、端口映射、程序配置四个环节里，很多人一着急就开始乱改配置，结果越改越乱，更合理的做法是先把问题范围缩小,再对症下药。
先判断是域名解析的问题，还是端口映射的问题
在浏览器输入域名访问，页面一直转圈最后超时，先做一个简单测试：用 telnet 或 ping 命令检查服务器的连通性。
- 如果你在服务器本机用
https://localhost:新端口能正常打开网站，说明网站程序本身运行正常，问题出在外部访问链路 - 如果你用
http://服务器公网IP:新端口在本地浏览器也能打开，说明端口映射和防火墙没问题，问题出在域名解析指向 - 如果公网IP加端口也打不开，那就说明端口没放通，或者端口映射配置错了
行业共识认为，大多数换端口后打不开的情况，都是只改了网站程序的监听端口,忘了同步修改安全组规则和端口映射关系。
域名端口映射怎么设置，才能让网站稳定访问
搞清楚问题出在哪一层之后，再来看端口映射的正确配置思路。域名绑定的是IP和端口，端口映射解决的是“谁来接这个请求”的问题,两者缺一不可。
建站场景下，多端口映射的典型配置路径
假设你的服务器IP是 0.113.5，网站原来跑在80端口，现在换成8080端口,完整的映射链路应该是：
- 域名解析指向服务器IP，这一步在DNS服务商后台操作，添加一条A记录，指向服务器公网IP
- 服务器安全组放行新端口，简米云、酷番云等云服务商都自带安全组功能，入方向规则里放行TCP 8080端口
- 系统防火墙放行新端口，在服务器内部执行
firewall-cmd --add-port=8080/tcp --permanent（CentOS）或ufw allow 8080（Ubuntu） -
反向代理把端口映射到网站程序
，Nginx配置proxy_pass http://127.0.0.1:8080完成端口转发
很多人在第二步或第三步就断了，然后一直怀疑域名解析有问题，反复刷新DNS缓存,白白浪费大量时间。
家用宽带或NAS环境下的端口映射逻辑
如果是家用宽带、公司内网部署的网站，或者NAS上的Web服务，涉及的就是路由器端口映射，也就是常说的虚拟服务器设置，域名映射到公网IP后，公网请求到达路由器,路由器再把指定端口转发到内网某台设备的固定IP上。
路由器端口映射配置时,有三个关键点：
- 内网IP必须固定，建议在DHCP里给设备绑定静态IP，否则设备重启后IP变了，映射就会失效
- 端口不能冲突，一台路由器上不能有两个规则映射同一个公网端口到不同内网设备
- 运营商封禁问题，据行业普遍反馈，国内家用宽带的80端口和443端口多数情况下被运营商屏蔽，无法直接用于建站，使用8080、8888、9000等非标准端口反而是常态
如果是这种情况，域名访问就需要带上端口号，http://yourdomain.com:8080。
网站换端口后打不开，具体排查操作步骤
排查讲究顺序，从外部到内部，从域名到程序，按下面六个步骤来,基本能覆盖所有常见问题。
第一步：检查域名解析是否生效。 使用在线DNS查询工具，或者本地命令行执行 nslookup 你的域名，看解析到的IP是不是你的服务器公网IP，如果解析还指向旧服务器IP，那问题全在DNS那边,和端口映射无关。
第二步：确认监听端口是否改对。 登录服务器，执行 netstat -tlnp | grep 新端口，看是否有进程在监听这个端口，如果没有任何输出，说明程序压根没跑在这个端口上,检查后端配置文件的监听端口是否保存并重启了服务。
第三步：验证安全组和防火墙规则。 云服务器的安全组和系统自带的防火墙是两道独立的关卡，都需要放行新端口，部分云厂商的安全组默认只放行了80和443，新增端口必须手动添加规则，系统防火墙可以用 systemctl status firewalld
确认运行状态，再执行 firewall-cmd --list-all 查看放行列表。
第四步：测试本地回环地址访问。 在服务器上执行 curl http://127.0.0.1:新端口，正常返回网站首页HTML内容,说明Nginx或Apache配置无误。
第五步：检查反向代理配置。 如果你用Nginx或Caddy做反向代理，重点看配置文件里的 listen 字段和 proxy_pass 目标端口是否和新端口一致，改完配置记得 nginx -t 测试语法，再 nginx -s reload 重载。
第六步：验证SSL证书绑定关系。 如果原域名使用了HTTPS，换端口后证书的监听端口也要跟着调整，443端口必须绑定证书，如果你用了非标准端口做HTTPS，需要使用 https://域名:新端口 方式访问,证书本身不需要更换。
端口映射配置里最容易被忽略的坑
这几个场景在实际运维中高频出现,每个都值得单独说一下。
Nginx反向代理端口转发配置
Nginx配置端口转发时,最典型的项目结构是：
server {
listen 80;
server_name yourdomain.com;
location / {
proxy_pass http://127.0.0.1:8080;
proxy_set_header Host $host;
proxy_set_header X-Real-IP $remote_addr;
}
}
这里的逻辑是Nginx监听80端口接收外部请求，然后把请求转发到服务器的8080端口上的应用进程。如果你的应用实际跑在3000端口，但Nginx转发写的是8080，就会出现Nginx访问正常，但页面报502或504错误,这时候倒回去看后端服务监听的到底是哪个端口。
宝塔面板端口映射配置
宝塔面板操作相对简单，但同样有顺序要求，添加站点时选择IP加端口方式，0.113.5:8080，然后在“安全”菜单里放行8080端口，如果你用的是云服务器，记得面板放行只是系统防火墙层面，云安全组还得再放一次,两头都要打通。
Docker环境下的端口映射差异
Docker部署的容器和宿主机之间的端口映射是独立的，-p 8080:80 表示把宿主机的8080端口映射到容器的80端口。如果改了宿主机端口，但容器内部的端口没改，访问宿主机新端口时，容器内部打不开页面，问题也可能出在这里。
换端口后访问出现异常的进阶排查思路
如果前面所有端口映射都确认无误，网站依然打不开,可以从下面两个角度切入。
检查备案与域名白名单问题
国内服务器要求域名备案后才能访问80端口的Web服务，非标准端口在实际使用中同样受管控，只是检测和拦截力度不同，如果你的域名没有备案，即使用8080端口，也可能被运营商拦截，这种情况在简米云、酷番云的服务器上比较常见,解决方案是使用海外服务器来通过IP或非标准端口访问未备案域名。
确认CDN是否需要重新配置
如果域名接入了CDN，CDN回源到服务器的端口也要做相应调整，换端口后，CDN节点仍在请求旧端口，用户访问的自然是源站错误或超时页面，这种情况下，在CDN控制台的“回源配置”里修改端口,再清理一下CDN缓存即可。
常见问题解答
换端口域名后打不开，会不会是域名被解析到旧IP导致的？
有可能，修改DNS记录后解析生效需要一定时间，通常为10分钟到24小时不等，先在本机执行 ping 你的域名 看返回的IP是否正确，如果不正确，说明解析还没生效，等待即可，如果解析正确但网站还是打不开,重点排查服务器的端口放行。
端口映射配置好了，外部还是访问不了，原因在哪里？
从安全组、系统防火墙、Nginx或IIS监听端口、程序监听地址四个环节逐一排查，最常见的原因是程序监听了 0.0.1:端口，导致外部网络无法访问，修改程序监听地址为 0.0.0:端口 即可解决，另外也可以使用此命令快速排查：curl -v http://公网IP:端口,输出的连接结果会明确告诉你卡在哪一步。
域名加端口访问网站时，端口号必须一直保留在网址里吗？
这取决于你是否有条件使用443或80端口，如果使用的是标准端口，访问时无需输入；如果使用的是非标准端口，端口号必须保留在网址中，将其他端口转发到80或443端口后，就可以实现域名不带端口访问，多见于Nginx反向代理场景，最终效果取决于你搭建网站时对各个端口的规划,在前期配置时就应统一设计。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/626184.html
