标准安装iRedMail后自定义端口被阻断无法访问如何解决

前置排查确认 #

• 确认目标服务监听状态：
  执行命令 ss -tulnp | grep [目标端口号]，确认服务监听地址为0.0.0.0（IPv4公网）或::（IPv6公网），若仅监听127.0.0.1/::1本地回环地址，外部网络天然无法访问。
• 系统防火墙规则验证：
  iRedMail默认会重写系统iptables规则，末尾追加全局DROP所有未明确放行的端口，仅默认开放25、80、443、110、143、587、993、995等邮件相关端口，即使关闭ufw也不影响iptables规则生效。
  执行命令 iptables-save 查看全量iptables规则，检查INPUT链是否存在未放行目标端口的拦截规则。
• 云服务商外层安全组验证：
  登录云服务提供商控制台，检查实例绑定的安全组入站规则，是否放行目标端口的访问请求，云服务商外层安全组拦截优先级高于服务器内部防火墙配置。
• 连通性分层测试：
  1. 服务器本地执行 nc -zv 127.0.0.1 [目标端口号] 确认本地可正常访问端口；
  2. 同网段其他服务器执行 nc -zv [服务器内网IP] [目标端口号] 确认内网可正常访问；
  3. 公网环境执行 nc -zv [服务器公网IP] [目标端口号] 定位拦截层级。
• 额外安全组件排查：
  执行命令 aa-status 检查Debian默认启用的AppArmor规则，确认是否存在限制端口访问的规则；同时检查fail2ban配置，确认你的访问IP未被封禁。

问题解决方法 #

• 若为iptables规则拦截：
  临时放行测试执行命令 iptables -I INPUT -p tcp --dport [目标端口号] -j ACCEPT，验证端口可访问后，将规则写入/etc/iptables/rules.v4（IPv4规则）、/etc/iptables/rules.v6（IPv6规则）实现规则持久化，避免服务器重启后规则失效。
• 若为云安全组拦截：
  在云服务商控制台安全组配置页添加入站规则，放行对应端口的访问请求即可。
• 若为服务监听地址问题：
  修改目标服务配置文件，将监听地址改为0.0.0.0，重启服务后生效。

内容的提问来源于stack exchange，提问作者Scorix