服务器能进去、IP 却进不去，通常不是服务器本身坏了，而是访问链路中间某一层把请求拦住了，按“网络可达 → 端口开放 → 服务监听 → 域名解析”四层顺序查，多数情况十分钟内能锁定原因。
先把“进不去”分成四种情况，不用急着重装系统
同一句“服务器能进去、IP 进不去”，不同人描述的现场差别很大，有人是 SSH 连得上、浏览器打不开；有人是本地能访问、同事访问不了；还有人是 IP 能打开、域名打不开，先对号入座，排查方向立刻少一半。
| 现场表现 | 最可能出问题的层 | 第一条命令 |
|---|---|---|
| ping IP 通，浏览器打不开 | 端口或应用 | telnet IP 80 |
| IP 能打开，域名打不开 | DNS 或备案 | nslookup 域名 |
| SSH 能连，网站 502/504 | 反向代理或后端 | 看 nginx error.log |
| 本地能开，外网不行 | 安全组、NAT、公网 IP | 看云控制台安全组 |
越往下看,问题越像“服务器坏了”，实际上多数只是配置没放开。
服务器能进去IP进不去是什么原因：四层排查法
第一层：IP 到底通不通
先区分“IP 不存在”和“IP 存在但被挡”。
ping IP：通，说明网络层基本可达；不通也别急着怪服务器，很多云主机默认禁 ping。traceroute IP（Windows 用tracert）：看请求在哪一跳断掉，断在运营商骨干网，多半是线路或封禁；断在云厂商网关，往安全组方向查。curl -I http://IP：能返回状态码，说明服务是活的，问题在浏览器、域名或 HTTPS 证书。
ping 不通但 SSH 能连很常见，这时候 ping 的结论参考价值有限，直接跳到端口测试。
第二层：端口开没开
这是“服务器能进去、IP 进不去”最高频的原因，服务器内部能访问，是因为走的是本地回环；外部访问走公网网卡，两处都得放行。
- 云厂商安全组：入方向放行对应端口，80、443、22 分别对应网页、HTTPS 和远程登录。
- 系统防火墙：CentOS 系用
firewall-cmd --list-all，Ubuntu 系用ufw status。 - 本机验证：
telnet 公网IP 80或nc -zv 公网IP 80，连不上就是端口层没通，连得上再往应用层查。
安全组有个容易忽略的点：规则改完要确认绑定到了正确的实例，多台机器共用一套模板时经常改错对象。
第三层：服务在不在、监听在哪
端口通了但页面打不开,去看服务本身。
ss -lntp或netstat -lntp：看端口有没有进程在监听。- 如果显示的是
0.0.1:80而不是0.0.0:80，那只有服务器自己能访问，外部一律进不来，把 nginx、Tomcat、Node 的监听地址改成0.0.0或具体公网网卡地址。 - 容器场景确认端口映射,
-p 80:80少一个都不行，只写-p 80是随机映射。 - 看日志：nginx 的
error.log、应用输出的 stdout，比反复刷浏览器有用得多。
第四层：域名解析有没有指对
IP 能打开、域名打不开，问题基本不在服务器上。
nslookup 域名或dig 域名：看解析出的 IP 是不是当前这台。- 本地 DNS 缓存会让人误判，换手机热点测一次，或临时改 hosts 指向 IP 验证。
- 大陆服务器用域名对外提供网站服务需要备案,未备案的域名走 80/443 会被拦截，表现就是“IP 能开、域名开不了”，这是政策层面的限制，改配置没用。
云服务器公网IP无法访问怎么排查：安全组和防火墙实操
安全组规则怎么配才不漏
- 入方向放行业务端口,来源填具体 IP 段比
0.0.0/0安全，测试阶段可临时全开，上线前收紧。 - 出方向默认全放行,一般不用动；改过就确认没有误删。
- 规则修改后立即生效,不需要重启实例。
firewalld 与 iptables 常用命令
# firewalld 放行 80
firewall-cmd --permanent --add-port=80/tcp
firewall-cmd --reload
# 查看当前规则
firewall-cmd --list-all
# iptables 放行 80
iptables -A INPUT -p tcp --dport 80 -j ACCEPTiptables 规则重启会丢，记得用 iptables-save 或对应服务持久化，部分云主机还带厂商侧安全组件，规则优先级和系统防火墙不同，两边都要看。
公网 IP 是不是真的绑在这台机器上
弹性公网 IP、NAT 网关、负载均衡架构下，服务器网卡上看到的可能是内网地址，公网入口在别的设备上，这时在服务器里查不到公网 IP 是正常的，要去控制台确认绑定关系，以及后端服务器有没有被健康检查摘掉。
本地能访问、外网访问不了怎么办：几个容易踩的坑
- 只监听了回环地址：前面提过，排第一位。
- IPv6 优先：客户端走 IPv6、服务器只配了 IPv4，表现是时好时坏，用
curl -4强制走 IPv4 验证。 - 公司或校园网出口限制：某些网络封非常用端口，换个网络环境测一次就能排除。
- CDN 或加速节点回源失败：域名接了 CDN，IP 直连正常、域名异常，检查回源地址和端口配置。
- 地域与线路差异：国内服务器给海外用户访问，或海外服务器给大陆用户访问，跨境线路抖动会造成间歇性打不开，用多地拨测工具对比延迟和丢包，比在本地反复刷新靠谱。
据工信部公开信息,网站接入服务需要完成实名与备案核验，这一条对“IP 能进、域名进不去”的排查优先级很高，别把时间全花在改 nginx 上。
排查要花多少钱、值不值得找人
服务器 IP 访问不了的排查，多数是配置问题，成本主要在时间，云厂商工单支持通常包含基础排查，安全组、网络连通性这类问题能免费协助定位；涉及系统内部配置、应用日志分析，属于运维范畴，第三方按次处理的价格区间跨度较大，单纯端口问题报价通常不高，涉及架构调整的按工时计费，业内专家指出，先按四层顺序自己过一遍，能过滤掉相当一部分“看一眼就能修好”的问题，再决定要不要付费。
Q&A：服务器能进去IP进不去常见问题
服务器能 ping 通但 IP 打不开网页，一定是防火墙吗
不一定,ping 走 ICMP，和 80、443 是两条路，先 telnet IP 80，通就查服务和日志，不通再查安全组和系统防火墙。
服务器 IP 能进但域名进不去，换 DNS 有用吗
换 DNS 只能解决解析错误或缓存问题，解析结果正确、IP 直连正常而域名仍打不开，重点看备案状态、CDN 回源配置和 HTTPS 证书是否匹配域名。
重启服务器能解决 IP 访问不了的问题吗
能解决一部分进程假死、监听异常的情况，配置类问题重启后依然存在，行业共识认为，重启只是恢复手段，根因仍要回到网络、端口、服务、解析这四层，把每层的验证命令跑一遍，定位就不会靠猜。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/784719.html
