Linux 服务器内网服务正常、公网也能访问但服务器自身访问公网地址超时的解决方法一、问题背景服务器上运行了一个 Web 服务监听一个内网端口。网络出口设备配置了公网端口映射公网地址PUBLIC_IP:PUBLIC_PORT ↓ 端口映射 / DNAT ↓ 内网地址PRIVATE_IP:INNER_PORT外部浏览器访问http://PUBLIC_IP:PUBLIC_PORT/可以正常打开。但是在这台服务器自身访问同一个公网地址时却无法连接。二、问题现象服务器执行telnet PUBLIC_IP PUBLIC_PORT一直停留在Trying PUBLIC_IP...没有连接成功。但是执行ping PUBLIC_IP却可以正常 ping 通。也就是说ping 公网 IP正常 TCP 公网端口服务器自身访问失败需要注意ping 通只能说明 ICMP 网络可达并不能说明对应的 TCP 端口一定能够访问。三、确认服务本身是否正常首先测试服务器本机服务curl -v --connect-timeout 5 http://127.0.0.1:INNER_PORT/如果返回Connected to 127.0.0.1 HTTP/1.1 200说明应用服务本身正常。继续测试服务器内网地址curl -v --connect-timeout 5 http://PRIVATE_IP:INNER_PORT/如果同样返回HTTP/1.1 200说明127.0.0.1:INNER_PORT 正常 PRIVATE_IP:INNER_PORT 正常如果此时外部浏览器访问http://PUBLIC_IP:PUBLIC_PORT/也能正常访问那么可以确定应用服务正常 内网访问正常 公网端口映射正常四、问题原因NAT 回流正常外部访问链路是外网客户端 ↓ PUBLIC_IP:PUBLIC_PORT ↓ 公网路由器 / 防火墙 DNAT ↓ PRIVATE_IP:INNER_PORT ↓ Web 服务但是服务器自己访问公网地址时链路变成服务器 ↓ PUBLIC_IP:PUBLIC_PORT ↓ 公网出口设备 ↓ 再转回内网 ↓ PRIVATE_IP:INNER_PORT这种场景通常叫NAT Loopback Hairpin NAT NAT Reflection NAT 回流简单来说就是内网服务器通过公网 IP再绕回去访问自身所在内网中的服务。如果出口防火墙或者路由器没有配置 NAT Loopback就可能出现外网访问公网地址正常 内网访问内网地址正常 服务器访问公网地址失败五、不修改程序的解决方法如果程序中已经固定使用http://PUBLIC_IP:PUBLIC_PORT又不希望修改程序配置可以直接利用 Linuxiptables OUTPUT DNAT。让服务器自身访问PUBLIC_IP:PUBLIC_PORT时自动转发为PRIVATE_IP:INNER_PORT最终效果服务器程序 ↓ PUBLIC_IP:PUBLIC_PORT ↓ iptables OUTPUT DNAT ↓ PRIVATE_IP:INNER_PORT ↓ Web 服务程序本身完全不需要修改。六、添加 iptables DNAT 规则执行iptables -t nat -A OUTPUT \ -p tcp \ -d PUBLIC_IP \ --dport PUBLIC_PORT \ -j DNAT \ --to-destination PRIVATE_IP:INNER_PORT写成一行iptables -t nat -A OUTPUT -p tcp -d PUBLIC_IP --dport PUBLIC_PORT -j DNAT --to-destination PRIVATE_IP:INNER_PORT注意PUBLIC_IP PUBLIC_PORT PRIVATE_IP INNER_PORT需要替换成自己的实际地址和端口。七、测试是否生效执行curl -v --connect-timeout 5 http://PUBLIC_IP:PUBLIC_PORT/如果能够看到类似Connected to PUBLIC_IP HTTP/1.1 200说明 DNAT 已经生效。也可以测试telnet PUBLIC_IP PUBLIC_PORT如果可以连接则说明问题已经解决。八、查看 iptables 规则执行iptables -t nat -L OUTPUT -n -v --line-numbers正常可以看到类似DNAT tcp -- 0.0.0.0/0 PUBLIC_IP tcp dpt:PUBLIC_PORT to:PRIVATE_IP:INNER_PORT还可以执行iptables -t nat -S OUTPUT查看完整规则。九、为什么 curl 还是显示公网地址即使 DNAT 生效后执行curl http://PUBLIC_IP:PUBLIC_PORT/curl 仍然可能显示Connected to PUBLIC_IP这是正常的。因为应用程序请求的目标本身还是PUBLIC_IP:PUBLIC_PORT只是数据包进入 Linux 内核网络栈以后被iptables OUTPUT链修改成了PRIVATE_IP:INNER_PORT因此程序本身不需要感知这个转换过程。这也是这种方案最大的优点代码不用改 程序配置不用改 公网 URL 不用改十、iptables 规则默认不会永久保存直接执行iptables -t nat -A OUTPUT ...添加的规则通常只在当前系统运行期间有效。服务器重启以后规则可能丢失。因此还需要设置开机自动添加。十一、firewalld 和 iptables.service 都没运行的情况可以先检查firewall-cmd --state如果返回not running再检查systemctl status iptables如果返回Unit iptables.service could not be found.说明当前服务器没有使用iptables.service来保存规则。这种情况下可以直接使用 systemd 创建一个开机任务。十二、创建 systemd 服务创建/etc/systemd/system/local-nat.service执行cat /etc/systemd/system/local-nat.service EOF [Unit] DescriptionLocal NAT Loopback DNAT Afternetwork.target [Service] Typeoneshot RemainAfterExityes ExecStart/bin/sh -c /usr/sbin/iptables -t nat -C OUTPUT -p tcp -d PUBLIC_IP --dport PUBLIC_PORT -j DNAT --to-destination PRIVATE_IP:INNER_PORT 2/dev/null || /usr/sbin/iptables -t nat -A OUTPUT -p tcp -d PUBLIC_IP --dport PUBLIC_PORT -j DNAT --to-destination PRIVATE_IP:INNER_PORT ExecStop/bin/sh -c /usr/sbin/iptables -t nat -C OUTPUT -p tcp -d PUBLIC_IP --dport PUBLIC_PORT -j DNAT --to-destination PRIVATE_IP:INNER_PORT 2/dev/null /usr/sbin/iptables -t nat -D OUTPUT -p tcp -d PUBLIC_IP --dport PUBLIC_PORT -j DNAT --to-destination PRIVATE_IP:INNER_PORT || true [Install] WantedBymulti-user.target EOF注意把PUBLIC_IP PUBLIC_PORT PRIVATE_IP INNER_PORT全部替换成自己的实际参数。十三、为什么使用 iptables -C这里没有直接每次都执行iptables -A而是先执行iptables -C它的作用是检查规则是否已经存在。逻辑是规则存在 ↓ 不重复添加 规则不存在 ↓ 执行 iptables -A这样可以避免每次 systemd 启动时重复添加同一条规则。十四、启动并设置开机自启执行systemctl daemon-reload启动systemctl start local-nat.service设置开机自启systemctl enable local-nat.service也可以直接systemctl enable --now local-nat.service十五、检查 systemd 状态执行systemctl status local-nat.service正常情况下会显示Active: active (exited)这里的active (exited)是正常的。因为该服务使用Typeoneshot它只需要执行一次 iptables 命令并不需要长期驻留后台。十六、确认开机自启执行systemctl is-enabled local-nat.service如果返回enabled就说明服务器重启以后会自动执行这条 NAT 规则。十七、最终验证查看 NATiptables -t nat -L OUTPUT -n -v --line-numbers然后执行curl -v --connect-timeout 5 http://PUBLIC_IP:PUBLIC_PORT/如果返回HTTP/1.1 200则说明配置完成。十八、最终网络结构外部用户访问外网客户端 ↓ PUBLIC_IP:PUBLIC_PORT ↓ 公网 NAT ↓ PRIVATE_IP:INNER_PORT ↓ Web 服务服务器自身访问服务器程序 ↓ PUBLIC_IP:PUBLIC_PORT ↓ iptables OUTPUT DNAT ↓ PRIVATE_IP:INNER_PORT ↓ Web 服务最终实现外网仍然使用公网地址 服务器程序仍然使用公网地址 不修改程序 不修改业务配置十九、排查思路总结遇到类似问题时可以依次检查curl http://127.0.0.1:INNER_PORT/再检查curl http://PRIVATE_IP:INNER_PORT/再从真正的外网访问http://PUBLIC_IP:PUBLIC_PORT/如果结果是localhost 正常 内网 IP 正常 外部访问公网地址正常 服务器自身访问公网地址失败那么就应该优先怀疑NAT Loopback Hairpin NAT NAT Reflection NAT 回流而不是一直排查应用、Nginx 或服务端口。二十、核心命令总结解决服务器自身访问公网地址的问题iptables -t nat -A OUTPUT -p tcp -d PUBLIC_IP --dport PUBLIC_PORT -j DNAT --to-destination PRIVATE_IP:INNER_PORT本质就是服务器访问 PUBLIC_IP:PUBLIC_PORT 自动转换为 PRIVATE_IP:INNER_PORT如果服务器重启后也需要生效再通过 systemd 自动执行即可。总结本次问题并不是服务异常也不是公网端口映射失败。真正的问题是Linux 服务器通过公网 IP 访问自身所在内网的服务时网络出口设备没有处理 NAT 回流。最终通过iptables OUTPUT DNAT systemd 开机自动执行解决。该方案适用于程序不能修改访问地址 内外网需要统一使用公网 URL 服务器自身必须访问公网映射地址 出口设备无法方便配置 Hairpin NAT同时不会影响正常的公网访问。