AWS部署Strapi实例出现80、443、1337端口拒绝连接求助

在已确认安全组规则配置正确、严格遵循Strapi官方AWS部署流程的前提下，80/443/1337端口全量拒绝外部连接的常见诱因包括：

实例本地系统层面拦截 #

• 操作系统自带的本地防火墙未放通目标端口：常见如Ubuntu默认启用的ufw防火墙、Amazon Linux 2默认配置的iptables规则，这类本地过滤逻辑优先级高于云侧安全组配置，即便安全组规则完全合规，本地防火墙也会直接丢弃指向80/443/1337的入站流量。可通过执行sudo ufw status、sudo iptables -L -n核对本地规则配置。
• 服务监听地址配置偏差：本地运行的Nginx（占用80/443端口）、Strapi进程（占用1337端口）如果绑定了回环地址127.0.0.1而非全网监听地址0.0.0.0，会导致服务仅响应实例内部的本地请求，直接拒绝所有外部来源的连接。可通过执行sudo netstat -tulpn | grep -E ':(80|443|1337)'核对服务实际监听地址，若绑定回环地址即为配置异常，修改对应服务配置后重启即可生效。

云侧网络配置隐性拦截 #

• 子网路由配置异常：如果EC2实例所在的子网未在关联路由表中配置指向互联网网关的默认路由，外部流量根本无法路由到实例所在的子网，即便安全组放通端口也会出现连接无响应的问题。需检查对应子网路由表，确认存在0.0.0.0/0指向互联网网关的有效路由条目。
• 子网级网络访问控制列表（NACL）规则拦截：安全组是实例维度的有状态过滤，而NACL是子网维度的无状态过滤，若NACL的入站规则未放通对应端口流量、或存在优先级更高的拒绝规则，会直接在子网层面丢弃匹配的流量，这类配置是部署过程中的高频忽略点。
• 公网入口关联异常：若EC2实例未正确绑定弹性公网IP、或公网IP因实例重启、网卡变更出现解绑，会导致实例无对外可达的公网地址，所有外部端口连接都会被直接拒绝。

服务自身状态异常 #

• 目标端口的服务进程未正常启动：若Nginx、Strapi进程因配置报错启动失败，对应端口上没有进程监听外部请求，流量到达实例后会直接返回连接拒绝的响应。可通过netstat命令核对三个端口是否存在运行中的对应服务，结合服务运行日志确认进程启动状态。
• Strapi内置访问限制配置拦截：Strapi内置的安全中间件如果配置了IP访问白名单限制、或未将当前外部访问域名加入allowedHosts配置列表，会主动拦截来自外部的请求，表现为端口可达但连接被主动重置。

内容的提问来源于stack exchange，提问作者Jake