connection-refused

连接被拒绝的定位与修复

现象

curl、ssh 或客户端立即报 Connection refused，不是等待超时。说明目标主机可达，但目标端口没有服务接受连接，或被防火墙明确拒绝。

快速定位

ss -lntp | grep ':<port>'
nc -vz <host> <port>
curl -v --connect-timeout 5 http://<host>:<port>/
systemctl status <service>
docker ps --format '{{.Names}}\t{{.Ports}}'
iptables -S
nft list ruleset

常见根因

1. 服务没有启动，或启动后崩溃。
2. 服务只监听 127.0.0.1，没有监听 0.0.0.0 或目标网卡。
3. 端口写错、协议不匹配（HTTP 打到 HTTPS 端口）。
4. 防火墙 REJECT、安全组拒绝或 SELinux 拦截。
5. 容器端口没有映射，或映射到了错误的主机端口。

修复

• 先在目标机本地 curl 127.0.0.1:<port>，区分服务问题和网络问题。
• 服务未启动就看日志和 systemctl status，修复启动失败原因。
• 修改监听地址，确认 ss -lntp 显示的是期望的地址。
• 检查防火墙、安全组和 SELinux，放行对应端口。
• 容器场景确认 -p host:container 和进程实际监听端口一致。

相关命令

• ss — 监听端口
• nc — 端口连通性
• curl — HTTP 验证
• firewall-cmd / iptables — 防火墙规则

读完自测

合上页面，先回答，再展开对照。

1. Connection refused 与连接超时在含义上有什么区别？
2. 目标机本地 curl 127.0.0.1:<port> 正常、远端访问被拒，最可能是什么原因？
3. 容器场景下应核对哪两处端口？