谷歌云防火墙在地址中使用端口时阻止连接答案

【问题标题】：Google Cloud firewall blocking connections when using port in address谷歌云防火墙在地址中使用端口时阻止连接
【发布时间】：2018-11-03 12:35:15
【问题描述】：

我对 Google Cloud 的工作方式非常陌生，我觉得这里似乎缺少一些明显的东西。我已经在 Ubuntu 18.04 VM 上安装了 TeamCity，它在端口 8111 上运行。在浏览器中点击 [ip]:8111 时，我没有得到界面——我得到“35.196.21.62 拒绝连接”。我可以从我的 Windows 机器上的命令提示符 ping [ip]:8111，但它也没有响应。但是，我可以在没有端口的情况下 ping [ip]，它的响应很好。

据我所知，我的防火墙应该设置为允许阳光下的所有东西连接到盒子。我为出口和入口创建了以下相同的规则。

最后，防火墙规则显示在实例上，因此正在应用它们。

这也是Linux机器上的问题。我已经确认服务正在运行，但我不确定还要检查什么——因为没有 GUI，所以没有浏览器。 “ufw status”确认防火墙已关闭。

如何打开该端口以便在浏览器中访问它？

【问题讨论】：

为了理智，我建议您通过 SSH 登录到实例并运行 netstat --an。这将列出所有正在侦听连接的接口和端口。查找正在监听 8111 的条目，并根据您的发现更新问题。
嗯，netstat --an 不起作用，但我自己运行了 netstat，看起来 8111 上没有服务监听……我猜这是 TeamCity 的问题。它说服务正在运行，所以至少我有一个起点。不知道这个命令存在。谢谢！
对不起，应该是netstat -an。但是，我认为我们已经找到了难题的核心。
谢谢！如果您将其发布为答案，我会接受。此命令是否列出了所有可能的事情，或者服务可能正在侦听但未在此处列出？

标签： ubuntu google-cloud-platform cloud ubuntu-18.04

【解决方案1】：

根据问题描述，我们进行了本地测试。当应用程序在充当网络 (TCP/IP) 流量端点的 Linux 机器上运行时，我们会发现它在侦听端口号。希望连接到此应用程序的客户端必须知道运行机器的主机的主机/IP 地址以及运行应用程序的端口。

在这个问题中描述的谜题中，我们试图连接到我们认为正在侦听端口 8111 的 GCP 托管应用程序。但是，我们收到的错误消息是“连接被拒绝”。我的经验是，这个错误表明来自客户端的网络请求一直到达主机，但主机不知道有应用程序在该端口上侦听。

列出所有正在使用的端口的一种简单方法是使用命令nestat。这有很多选项，但我更喜欢nestat -an，它列出了所有网络连接（包括处于侦听模式的连接）并打印数字 IP 地址，而不是执行主机名解析。有关nesat 的完整详细信息，请参阅netstat。可以使用命令 lsof 来替代 nestat，但这并不常用，可能需要更多设置。

运行 nestat 后，我们发现主机上没有本地应用程序正在主动侦听端口 8111，这充分解释了为什么基于 Internet 的客户端无法连接到该服务。解析的第一步将检查主机上运行的应用程序的性质和配置，以确定如何将其配置为主动侦听所需端口。除非 netstat 显示应用程序正在本地侦听，否则尝试从 Internet 连接没有任何价值/优点。

【讨论】：

【解决方案2】：

在浏览器中点击 [ip]:8111 时，我没有得到接口--我得到“35.196.21.62 拒绝连接。”

您需要创建防火墙规则以允许流量到端口 8111。

我可以在我的 Windows 机器上从命令提示符 ping [ip]:8111，它也不在那里响应。

ping 命令不使用TCP 或UDP，而是使用ICMP。 ICMP 没有端口号。 ICMP 是 IP Protocol 1。

但是，我可以在没有端口的情况下 ping [ip]，它的响应很好。

这意味着您有一个允许ICMP 流量的防火墙规则。

【讨论】：

这些规则不就是这样吗？它应该允许所有 IP 访问所有端口，并且我对出口和入口都有相同的规则。但是很高兴知道 ping —— 从来不知道。
你没有发布防火墙规则，所以我不知道。例如，您有一条规则teamcity。哪些端口是开放的？您不希望入口和出口的规则相同。对于出口所有端口，对于入口只需要打开的端口。
上图中的防火墙规则是针对0.0.0.0/0的，所有端口都是开放的。