防火墙开了端口但访问不了，是云厂商安全组

服务器上 ufw 放行了，外部还是连不上。

原因：云厂商有独立的安全组，在网络层就拦掉了，包到不了服务器。

顺序：云安全组 → 系统防火墙 → 应用监听

三层都要放行。排查时从外往里：

1. 本地 telnet 端口，不通说明问题在前面
2. 云控制台看安全组规则
3. 服务器 iptables/ufw 看规则
4. ss -tlnp 看应用是否在监听

这个坑每个用云服务器的人都踩过。