服务器设置部分IP能访问不了，大概率不是IP本身失效，而是防火墙规则、安全组或网络ACL的配置顺序出了问题。 先别急着重启服务器，按照“规则顺序 → 掩码范围 → 协议端口”这三步排查，多数情况下半小时内就能定位到问题。
服务器IP白名单设置后无法访问，先查这三处
遇到“加了白名单还是不能访问”的怪事，十有八九是下面三个细节没对齐。
规则的执行顺序与默认策略
Linux的iptables和firewalld都按规则编写顺序从上到下匹配,命中即停，不再往下处理，很多人习惯把“拒绝所有”放在第一条，又把“允许指定IP”放在后面，结果允许规则永远轮不到执行，Windows防火墙虽然界面不显示行号，但优先级同样受规则类型和接口影响，不能掉以轻心。
查看iptables规则行号：
- 输入
iptables -L -n --line-numbers，看规则前面的数字编号。 - 编号越小,越先被匹配，如果
DROP规则编号是1，你的ACCEPT规则编号是5，那所有流量都会被1挡住。 - 调整顺序用
iptables -I INPUT 2 -s 1.2.3.4 -j ACCEPT，插到第2行，确保在拒绝规则之前。
firewalld同样有顺序概念,只不过它使用区域和富规则，你可以用 firewall-cmd --list-all 查看当前加载的规则，再用 firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="1.2.3.4/32" port port="80" protocol="tcp" accept' 添加允许规则，firewall-cmd --reload 重载。
行业共识认为,白名单应该始终放在拒绝规则之前，拒绝动作放末尾当兜底。
掩码与IP段写法错误
这是最容易踩的坑,你明明写的是 168.1.0/24，但对方IP实际属于 168.1.0/25 的广播范围，看起来是同一段，其实子网计算方式不同，防火墙会直接拒绝，有些控制台要求填IP范围，如果你只填了单个IP却带了 /32 后缀，系统又把它当成段来处理，两边对不上，结果就是“部分IP能访问，部分不能访问”。
正确写法：
- 单个IP：
2.3.4/32，或者直接填2.3.4（看平台要求）。 - 整个C段：
2.3.0/24，不要写成2.3.1/24。 - 连续多段：用子网计算工具算好CIDR，别手写。
如果你用的是宝塔面板或云安全组,注意界面里“IP段”和“IP”往往是两个输入框，填错位置也会导致失效。
协议和端口不匹配
限制IP的同时,往往还要限制端口，你只放行了IP的22端口，对方却走80端口来访问网站，那自然超时，更隐蔽的是，防火墙里单独拦截了ICMP协议，导致你能ping通别人，但别人访问你的网站却打不开。
排查建议：
- 确认业务端口是TCP还是UDP,在防火墙里放行对应协议。
- 测试时用
telnet 你的服务器IP 80指定端口测，别只ping。 - 如果同时开了IPv6,注意IPv6和IPv4规则是两套，别只配了IPv4。
网站服务器IP访问不了排查：防火墙规则与安全组
云服务器相比物理机多了一层安全组,安全组在云平台的控制台上管理，优先级高于操作系统防火墙，所以经常出现“系统防火墙全放开了，外面还是进来不了”的情况。
云服务器IP被限制访问：先从安全组入手
安全组的入站规则管控着外部流量是否能到达服务器网卡,即使是同一批IP，只要你没有在安全组里放行那个IP的80端口，系统防火墙怎么设置都白搭。
操作路径：
- 登录云服务器控制台,找到实例。
- 进入“安全组”配置页，点“入方向规则”。
- 添加规则：协议选TCP，端口填80（或业务端口），源地址填你要放行的单个IP或IP段，动作选“允许”。
- 保存后规则即时生效,不用重启。
注意,安全组规则也按优先级排序，多数云平台数字越小优先级越高，如果高优先级的拒绝规则把IP段盖住了，你的允许规则同样无效。
你可以用下表对比安全组和系统防火墙的差异：
| 对比项 | 云平台安全组 | 系统防火墙 |
|---|---|---|
| 生效位置 | 虚拟网络层 | 操作系统内核 |
| 优先级 | 高于系统防火墙 | 次之，与安全组为“与”逻辑 |
| 配置入口 | 云控制台 | 服务器命令行或控制面板 |
| 典型问题 | 规则缺失、顺序冲突 | 服务未启动、端口没放行 |
服务器自身的防火墙与云安全组的差异
两者是“与”关系，任何一个拦了，数据包都进不来，为了快速定位，可以临时关闭系统防火墙测试，如果关了就能访问，说明问题在系统防火墙；如果还是不行，大概率是安全组或路由问题。
Linux临时关闭firewalld：
systemctl stop firewalld（临时）systemctl disable firewalld（永久，谨慎）
测试完记得恢复,别裸奔。
服务器IP限制访问怎么解除？分步操作指南
这一节给出一套可复制的排查流程,从现象到定位，一步步来。
第一步：确认“部分IP”具体指向
先问自己：是同一个网段里部分IP不行，还是来自不同网段的部分IP不行？这决定了排查方向。
- 同一网段内部分IP不行：大概率是掩码写错，或对方IP被运营商封禁。
- 不同网段都不行：检查你自己的防火墙是否有默认拒绝规则，或者云安全组里的源IP段是否过于严格。
把不通的IP和通了的IP列出来,对比它们的子网前缀，如果都在同一个C段里，却只有少数几个不通，那可能是对方IP被安全软件加入了黑名单。
第二步：本地测试与远端测试
在你自己电脑上执行：
ping 服务器IP：测网络层通不通。telnet 服务器IP 80：测TCP端口通不通。nc -zv 服务器IP 80：结果更直观。- Windows系统可以用
Test-NetConnection 服务器IP -Port 80。
如果ping通但telnet不通,说明防火墙拦截了端口，如果两者都不通，再看安全组或路由。
第三步：检查服务器安全软件
很多服务器装了宝塔面板、云锁、安全狗等防护软件，这些工具自带网络防火墙，并且在系统防火墙之外独立运行，有用户遇到过：宝塔面板的“系统防火墙”里加了IP放行，却在“安全”模块里将该IP加入禁用列表，两边规则冲突，最后表现为部分IP访问不了。
去宝塔或云锁的“防火墙”和“IP黑名单”两处都检查一遍，确保没有互相覆盖的规则。
第四步：看服务器日志
日志是最诚实的,Linux下查看 /var/log/messages 或 /var/log/secure，搜索被丢弃的IP，能看到类似 Dropped 的记录，Windows则打开“事件查看器”里的“安全”日志。
如果日志里频繁出现某个IP的丢包记录,直接根据日志里的IP和端口去调整规则，如果完全没有记录，说明数据包没到服务器，问题出在网络层。
IP地址访问服务器超时，大概率是路由或解析问题
有时候不是配置问题,而是网络路径不通，服务器设置部分IP能访问不了，也可能是对方IP被运营商BGP路由过滤了，或者跨境线路拥塞，这种情况你没法通过改服务器配置解决。
- 对方是家庭宽带,有些地区运营商封了80端口，你测80会超时，但22正常。
- 对方是海外IP,跨国线路丢包严重，需要CDN或专线。
用 traceroute（Linux）或 tracert（Windows）查看数据包在哪一跳中断，如果IP走到某一跳后一直无响应，大概率是运营商问题，不是服务器问题。
验证白名单配置是否生效的三种实测方法
配置改完,别急着说“好了”，用实际请求验证。
- 从放行IP的机器访问：
curl -I http://你的服务器IP，能看到HTTP状态码说明端口通。 - 从未放行IP的机器访问：应该超时或拒绝连接，如果也能访问，说明规则没生效或默认策略是允许。
- 在服务器上抓包：
tcpdump -i eth0 port 80，看有没有来自测试IP的SYN包，有包但被拒，说明防火墙拦了；没包，说明路由或安全组没放行。
常见问题解答（Q&A）
服务器IP白名单设置了，但是IP能访问别人不能访问，怎么回事？
确认白名单的端口范围是否覆盖所有业务端口,如果你只放行了80端口，但站点用了443，那别人用HTTPS访问自然失败，检查安全组和系统防火墙里的端口是否一致，同时确认默认策略是拒绝还是允许，如果默认允许，白名单可能根本没生效。
云服务器IP被限制访问，重启服务器能解决吗？
不能,IP是固定的，重启不会改变安全组或防火墙规则，除非你之前修改过配置文件但没重载，重启可以帮助加载，但本质上还是要找到配置里的错误，建议先备份现有规则，再逐条排查，不要指望重启解决。
网站服务器IP访问不了排查时，为什么ping通但网站打不开？
这种情况几乎可以断定是TCP 80/443端口被拦截，或者Web服务本身没启动，先用 netstat -tlnp 确认端口在监听，再用 telnet 测试本机回环地址，本机通而外网不通，检查云安全组；本机都不通，检查Web服务配置和进程状态。
服务器设置部分IP能访问不了,大多数时候不是玄学，而是配置里的顺序、掩码或端口细节没对齐，按照防火墙、安全组、路由三层排查，多数问题都能在几轮测试里找答案，先看规则顺序，再看端口，最后看日志。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/694684.html
