Azure Redhat Linux VM入站端口80/443规则不生效问题求助

按从外到内的顺序逐一排查，90%以上的问题都能定位到：

Azure平台层排查 #

• 核对网络安全组(NSG)关联与规则：分别检查虚拟机网卡绑定的NSG、网卡所在子网绑定的NSG，确认入站规则优先级高于所有默认拒绝规则，规则配置要求：源端口填*（入站规则不要限制源端口），目标端口填80,443，协议选TCP，操作选允许，目标范围覆盖虚拟机网卡的私有IP。不要出现只给某一个NSG加规则、漏绑NSG、规则优先级被更高的拒绝规则覆盖的问题。
• 检查是否有中间流量转发资源：如果虚拟机前端挂了负载均衡器、应用程序网关、第三方虚拟网络设备，要核对LB的负载均衡规则、入站NAT规则是否正确配置，健康探测是否正常返回200状态码——LB探测失败时会直接丢弃所有发往后端的流量，根本不会到达虚拟机。同时检查子网关联的路由表，有没有自定义路由把入站流量转发到其他目的地，导致流量没送到虚拟机网卡。
• 用平台自带能力做确定性验证：在Azure门户找到对应虚拟机，找到「网络」-「IP流验证」功能，选择对应网卡，方向选入站，协议选TCP，本地IP填你测试用的客户端公网IP，本地端口随便填个临时端口比如50000，远程IP填虚拟机私有IP，远程端口填80，直接看平台层判定是允许还是拒绝，这一步可以100%排除Azure SDN层面的拦截问题。

虚拟机系统层排查（RHEL特有坑点集中区） #

• 先确认服务正常监听对应端口：在虚拟机内部执行命令 sudo ss -tulpn | grep -E ':(80|443)'，看输出的进程是不是绑定在0.0.0.0:80、0.0.0.0:443（或者对应网卡的私有IP）上。如果进程只绑定了127.0.0.1，外部流量肯定访问不到；如果没有任何进程监听这两个端口，先把httpd/nginx/对应的业务服务启动，配置正确的监听地址。
• 核对firewalld规则：RHEL默认启用firewalld，默认规则会拦截80、443端口的入站流量，很多人会漏配系统层防火墙只配NSG。执行sudo firewall-cmd --list-ports查看已放行端口，如果没有80/tcp、443/tcp，执行以下命令添加规则：

  sudo firewall-cmd --add-port=80/tcp --permanent
  sudo firewall-cmd --add-port=443/tcp --permanent
  sudo firewall-cmd --reload
  

• 检查SELinux拦截：RHEL默认启用SELinux，如果你用的不是官方源安装的httpd/nginx服务，或者修改过web服务的默认监听端口、默认站点根目录，SELinux会默认拦截服务的端口绑定和文件访问。可以先执行sudo setenforce 0临时关闭SELinux测试，如果端口立刻恢复访问，就执行对应命令给端口加SELinux标签放行，不要长期关闭SELinux：

  sudo semanage port -a -t http_port_t -p tcp 80
  sudo semanage port -a -t http_port_t -p tcp 443
  

• 本地验证服务可用性：在虚拟机内部执行curl http://127.0.0.1和curl -k https://127.0.0.1，确认本地访问服务能正常返回内容，如果本地curl都报错，先修复服务本身的配置问题，不用排查网络链路。

连通性测试注意事项 #

• 不要用ping做连通性判断：ICMP协议默认在NSG和firewalld中都是被拦截的，ping不通不代表TCP端口不通，测试请用nc -zv <虚拟机公网IP> 80、telnet <虚拟机公网IP> 443或者tcping工具测TCP端口连通性。
• 排除客户端侧网络拦截：如果测试一直不通，换个网络环境（比如手机热点，不要用公司内网）再测，排除本地运营商、公司出口防火墙拦截80/443端口出站的情况。

内容的提问来源于stack exchange，提问作者Rajesh Gandhavarapu