★ FEATURED ARTICLE 同事甩来一句你那个页面我打不开一直转圈大概是每个做 Web 的人都遇到过的场景。本机跑得好好的http://localhost:8080一切正常可把地址发给别人对方浏览器直接报无法访问此网站。这中间隔着的其实是好几层东西监听地址、网卡选择、网段可达性、防火墙入站规则、还有应用层那些藏得比较深的校验。本文就把别的主机访问本机 web 项目这件事从头拆到底讲清楚每一层为什么会拦你、怎么用命令快速定位、以及各类技术栈Tomcat、Spring Boot、Node、Flask、Nginx、Docker、WSL2具体该怎么改配置。不管你是刚学完 Java Web 目录结构的新手还是天天配 windows 主机信息收集排查的老运维都能从里面找到能直接抄的配置和踩坑提醒。1. 请求到底卡在哪一层先把问题拆成可验证的段落1.1 一个请求从对方主机走到你项目的完整链路很多人排查这类问题的方式是瞎试先关防火墙不行再换 IP还不行就重装。这种方式的问题在于你根本不知道自己是解决了问题还是碰巧绕过了问题。正确的做法是把链路拆开逐段验证。对方主机打开浏览器想访问你的项目数据包的旅程是这样的浏览器根据你给的地址比如http://192.168.1.20:8080解析出目标 IP 和端口对方主机查路由表判断目标 IP 是否在同一网段同网段走 ARP 直连不同网段交给网关数据包经过交换机、路由器可能是公司核心交换也可能是你家那台路由器转发到达你机器的网卡由内核的 TCP/IP 协议栈接手内核检查这个端口上有没有进程在监听以及监听地址是否匹配匹配成功后入站规则防火墙再放行一次最后请求交给应用应用可能还会做 Host 头校验、CORS 检查、鉴权。七步里任何一步断了对方看到的都是打不开但失败的具体表现完全不同这就是定位的钥匙。1.2 三种失败表现对应三个不同的层我习惯把打不开分成三类一眼就能判断大概卡在哪表现典型提示大概率原因主要排查方向一直转圈最后超时ERR_CONNECTION_TIMED_OUT包被丢弃防火墙 DROP、网段不通、AP 隔离网络层 防火墙秒失败ERR_CONNECTION_REFUSED端口没人监听或只监听了 127.0.0.1服务监听地址能连上但报错403、400、500、CORS 错误应用层校验、反向代理配置、Host 头应用配置这里的差别很关键。超时意味着对方连 TCP 握手都没完成问题在网络或防火墙拒绝意味着 TCP 握手被明确拒绝RST 包说明包到了你机器但那个端口没有服务在等或者服务只在回环地址上等能连上报错说明链路是通的纯粹是应用自己不满意。先把这三类分清楚排查范围立刻缩小一半。1.3 用几条命令把断点钉死定位不需要花哨工具几条系统自带命令足够。在对方主机上先 ping 你的 IPping 192.168.1.20ping 通只代表三层 IP 可达不代表端口可达——很多防火墙对 ICMP 和 TCP 的处理策略不同。所以 ping 通了别高兴太早。接着测端口Windows 用Test-NetConnection 192.168.1.20 -Port 8080Linux/macOS 用nc -zv 192.168.1.20 8080 # 或者 telnet 192.168.1.20 8080Windows 上telnet默认没装得去启用或关闭 Windows 功能里勾上 Telnet 客户端比较麻烦所以我一般直接用 PowerShell 的Test-NetConnection。在你本机上确认服务确实在监听Windowsnetstat -ano | findstr :8080Linux/macOSss -tlnp | grep 8080 # 或 lsof -i :8080看监听地址这一列。如果是127.0.0.1:8080那答案基本已经出来了——只有本机能连如果是0.0.0.0:8080或:::8080说明服务本身没问题接着查防火墙和网络。提示macOS 上netstat输出里的*.8080表示监听所有地址127.0.0.1.8080表示只监听回环看小数点分隔的位置即可。这三条命令跑完你手里就有了三个事实IP 通不通、端口通不通、本机监听在哪个地址。后面所有操作都基于这三个事实做判断而不是靠猜。2. 监听地址是第一道门为什么 localhost 只认自己2.1 127.0.0.1、0.0.0.0 和真实网卡 IP 的本质区别这是最核心也最容易被跳过的一节。很多框架的默认配置都是监听127.0.0.1或者localhost这个设计是为了开发时的安全——别人连不上你的半成品多好。127.0.0.1回环地址只走本机内核内部数据包根本不出网卡。别的机器永远到不了。0.0.0.0通配地址表示本机所有网卡的所有 IP 都监听。这才是让局域网其他机器访问的正确姿势。192.168.1.20真实网卡 IP只监听这一张网卡。如果你有多张网卡物理网卡 VMware 虚拟网卡 WSL 虚拟网卡绑定了错误的那个其他机器同样访问不到。用一个生活化的类比127.0.0.1像是只接内线电话外人打不进来0.0.0.0是所有号码都接绑定具体 IP 是只接某一个号码别的号码打来没人接。我见过最典型的情况是开发同学用 IDEA 跑起 Spring Boot控制台明明打印了Tomcat started on port 8080同事就是连不上。原因就是他在application.properties里沿用了从某个模板抄来的server.address127.0.0.1。2.2 各技术栈怎么把监听地址改对不同栈改法不一样我整理了一份常用的可以直接对照Spring Boot在application.properties里server.address0.0.0.0 server.port8080或者用 YAMLserver: address: 0.0.0.0 port: 8080启动时用命令行参数覆盖也行--server.address0.0.0.0。Tomcat 独立部署默认的Connector其实就监听所有地址所以独立部署 Tomcat 通常不用改。但如果server.xml里被加了addresslocalhost就要删掉Connector port8080 protocolHTTP/1.1 connectionTimeout20000 redirectPort8443 /注意Connector上没有address属性时Tomcat 绑定的是所有地址。有些人从网上抄配置抄来了address127.0.0.1然后完全不知道为什么别人访问不了。Node / Expressapp.listen(3000, 0.0.0.0, () { console.log(listening on 0.0.0.0:3000); });如果只写app.listen(3000)Node 在大多数平台上默认监听::即所有地址但为了明确我习惯显式写上。Vite在vite.config.js里export default { server: { host: 0.0.0.0, port: 5173, }, };临时用的话npm run dev -- --host也能生效。webpack-dev-server / vue-climodule.exports { devServer: { host: 0.0.0.0, port: 8081, allowedHosts: all, }, };allowedHosts这个字段后面第 5 节会专门讲它是 Vite 6 和 webpack-dev-server 后来加的一道校验很多以前能访问现在突然不行了的问题出在这里。Flaskapp.run(host0.0.0.0, port5000)Djangopython manage.py runserver 0.0.0.0:8000顺便说一句Django 用0.0.0.0时还得配ALLOWED_HOSTS否则请求会被拒。2.3 IDEA 里跑起来的项目为什么常常只监听本地这里单独说一下因为 IDEA 2024 的 Web 项目部署流程里有个容易忽略的点。用 IDEA 的 Tomcat 运行配置跑项目时它会用自己的一套配置去启动 Tomcat。大部分情况下监听的是所有地址但如果你在 Run Configuration 的 VM options 里塞了-Djava.net.preferIPv4Stacktrue加上自定义地址或者项目里有application.properties指定了server.address就可能只监听回环。还有一个坑IDEA 里有个 Allow parallel run 和端口占用处理。如果 8080 被占用IDEA 有时会静默把端口改成 8081然后你还拿着 8080 发给别人——当然连不上。改完端口记得看控制台实际打印的那个端口号别想当然。另外用 JSP 的项目要注意改完之后重新编译 JSP 才算数。可以在 Tomcat 的work目录下找到 JSP 编译后的 Java 类文件确认改动生效路径一般是work/Catalina/localhost/你的应用名/org/apache/jsp/。3. 找对 IP多网卡机器上选错网卡等于白折腾3.1 Windows 上 vmnet、WSL、Hyper-V 虚拟网卡的干扰这是 Windows 用户最容易翻车的地方。装了 VMware、Hyper-V、WSL、Docker Desktop 之后ipconfig会吐出一大堆 IP什么VMnet1、VMnet8、vEthernet (WSL)、vEthernet (Default Switch)。而你要给同事的是物理网卡那个 IP通常是以太网或WLAN下面那个192.168.或10.开头的地址。VMnet1一般是192.168.234.1这种VMnet8是192.168.180.1这种但它们只对本机虚拟网络有意义同事那边完全路由不到。所以我一般这么查ipconfig | findstr /i IPv4输出里挑物理网卡那条。判断技巧VMware 虚拟网卡的 IP 通常以.1结尾宿主机在虚拟网络里做网关物理网卡的 IP 是路由器分配的不会那么规整。更稳妥的办法是看适配器名字以太网/WLAN/Ethernet/Wi-Fi 才对。如果你想更保险直接看默认网关那条ipconfig | findstr /i Gateway有默认网关的那张网卡基本就是能对外通信的物理网卡。3.2 Linux 和 macOS 取 IP 的稳妥姿势Linux 上ip -4 addr show # 或者只看有默认路由的网卡 ip route get 1.1.1.1第二条命令会告诉你系统实际会用哪张网卡出去输出里的src后面就是本机 IP这个最准。macOS 上ipconfig getifaddr en0 # Wi-Fi ipconfig getifaddr en1 # 有线ifconfig输出比较乱ipconfig getifaddr更直接。macOS 上还有一堆utun、awdl、llw接口别选错。3.3 网段判断和那堵看不见的墙拿到 IP 之后先判断网段。私有地址段就三个网段范围常见用途10.0.0.0/810.0.0.0 – 10.255.255.255公司内网、云主机私网172.16.0.0/12172.16.0.0 – 172.31.255.255容器网络、部分内网192.168.0.0/16192.168.0.0 – 192.168.255.255家用路由、小型办公如果对方的 IP 和你不在这三个网段的同一个子网里那要么经过路由器要么根本不通。还有一种看不见的墙是无线 AP 隔离也叫客户端隔离。很多公司和酒店的 WiFi 默认开启这个功能同一 WiFi 下的设备互相不能通。表现就是能上网ping 网关通但 ping 同 WiFi 的其他设备不通。这时候你把服务配置得再对也没用。临时验证方法手机连同一 WiFi用浏览器访问你的项目地址。如果手机也打不开但你的电脑自己访问正常那就是网络隔离。换有线、换热点或者让网管关掉 AP 隔离。跨网段的情况还要看路由和 NAT 规则一般公司内网会有防火墙策略隔离办公网段和服务器网段这种就不是自己能改的了得走 IT。4. 防火墙和端口放行规则写对了才不误伤4.1 Windows Defender 入站规则的正确建法Windows 上最经典的坑是首次运行弹窗选了取消。程序第一次监听端口时Windows 会弹一个允许应用通过防火墙的对话框如果你手一抖点了取消系统就给你生成一条阻止规则此后这个程序一律被挡。很多人后来怎么都连不上就是因为这条历史遗留的阻止规则。排查方法打开Windows Defender 防火墙→允许应用或功能通过防火墙翻到列表下面的被阻止的应用看看有没有你的 java.exe、node.exe 躺在里面有就删掉阻止规则。更规范的做法是直接建端口规则。图形界面路径是高级安全 Windows Defender 防火墙 → 入站规则 → 新建规则 → 端口 → TCP → 特定本地端口 8080 → 允许连接 → 三个配置文件域/专用/公用都勾上 → 命名。命令行更快netsh advfirewall firewall add rule nameDev8080 dirin actionallow protocolTCP localport8080PowerShell 版本New-NetFirewallRule -DisplayName Dev8080 -Direction Inbound -Protocol TCP -LocalPort 8080 -Action Allow -Profile Any-Profile Any很关键三个配置文件都覆盖。Windows 会根据网络类型自动切换配置文件你连着 WiFi 时是公用插上网线可能是专用规则只对其中一个生效的话换个网络环境就失效了。如果要连续放行一批端口可以循环8080,8081,3000,5173 | ForEach-Object { New-NetFirewallRule -DisplayName Dev$_ -Direction Inbound -Protocol TCP -LocalPort $_ -Action Allow -Profile Any }删规则用Remove-NetFirewallRule -DisplayName Dev8080。注意排查阶段临时关掉防火墙可以但别忘了开回来。我就干过排查完忘了开、机器裸奔好几天的事。4.2 Linux firewalld、ufw 和云主机安全组Linux 上主要看两个工具firewalldCentOS/RHEL 系和ufwUbuntu 系。firewalldfirewall-cmd --permanent --add-port8080/tcp firewall-cmd --reload firewall-cmd --list-ports--permanent是持久化不加的话重启就没了。改完必须--reload才生效。ufwsudo ufw allow 8080/tcp sudo ufw status另外还有iptables虽然现在多数发行版都用上面两个做前端但底层还是它。要看实际规则sudo iptables -L -n --line-numbers如果是云主机各种云厂商的服务器都算还有一个安全组在防火墙外面。安全组是云平台层面的规则和你机器里的防火墙是两套东西。请求先过安全组再进机器防火墙。所以即便你ufw status显示端口已放行云控制台的安全组没开照样连不上。排查顺序建议云安全组 → 机器防火墙 → 服务监听从外到内。我见过不少人折腾半天 firewalld最后发现是安全组没放行。4.3 端口占用的排查和临时换端口有时候端口通不了不是防火墙而是被别的进程占了你的服务启动失败了只是日志被刷过去了没注意。Windows 查占用netstat -ano | findstr :8080最后那列是 PID拿到后tasklist | findstr PIDLinux/macOSlsof -i :8080或者用ssss -tlnp | grep 8080找到占用进程杀掉或者换个端口。换端口时记得同步改前端请求地址、Nginx 配置、防火墙规则改一处漏一处是常态。Windows 上还有一类特殊的占用System进程占用某个端口通常是 Windows 的端口保留区间导致的。可以用netsh int ipv4 show excludedportrange protocoltcp看看你的端口是不是落在保留范围内。Hyper-V 会预留一大段端口比如 50000 或有时低至 1000 多段导致你选了端口却绑不上。解决办法是重启 winnat 服务net stop winnat/net start winnat或者干脆换端口。5. 应用层还有几道坎Host 校验、CORS 和反向代理5.1 前端请求地址不能写死 localhost网络和后端都通了结果页面能打开但接口全挂这是前后端分离项目的高频问题。原因通常是前端代码里请求地址写死了http://localhost:8080/api。localhost在访问者的浏览器里解析成访问者自己的机器而不是你的机器。所以同事打开你的页面浏览器去请求他自己的 localhost当然什么都没有。正确做法是让前端请求地址跟随当前页面的 host。Vite 项目里的配置大概是这样// vite.config.js export default { server: { host: 0.0.0.0, port: 5173, proxy: { /api: { target: http://127.0.0.1:8080, changeOrigin: true, }, }, }, };前端代码里请求写相对路径/api/xxx由 dev server 代理到后端。changeOrigin: true会改写请求头里的 Host避免后端校验失败。如果不走代理就得用window.location.hostname动态拼const apiBase http://${window.location.hostname}:8080/api;这样谁访问页面就请求谁的机器上的 8080——但如果别人的机器上没跑后端还是不行。所以局域网多人协作场景代理方案更靠谱因为代理发生在你的机器上。5.2 CORS 和 Host 头校验这两道隐藏关卡浏览器报 CORS 错误说明请求其实已经到达服务端了只是浏览器发现响应里没有允许跨域的响应头把结果拦下了。解决方式两种后端加跨域配置或者用代理把跨域变成同源。后端加跨域以 Spring Boot 为例Configuration public class CorsConfig implements WebMvcConfigurer { Override public void addCorsMappings(CorsRegistry registry) { registry.addMapping(/**) .allowedOriginPatterns(*) .allowedMethods(*) .allowCredentials(true); } }Node/Express 用cors中间件const cors require(cors); app.use(cors());再说 Host 头校验这是最近几年新加的坑。Vite 6 之后dev server 会校验请求的 Host 头不在白名单里的直接拒绝报Blocked request. This host is not allowed。这是为了防止 DNS rebinding 攻击。解决办法就是前面提过的allowedHosts// vite.config.js export default { server: { host: 0.0.0.0, allowedHosts: [192.168.1.20, .local], }, };或者图省事直接allowedHosts: all只建议在内网开发环境这么干。Django 的ALLOWED_HOSTS是同样的思路ALLOWED_HOSTS [*] # 开发环境 # 生产环境写具体 IP 或域名 ALLOWED_HOSTS [192.168.1.20, mysite.local]webpack-dev-server 的报错 Invalid Host header 也是同一回事配置allowedHosts即可。5.3 Nginx 反向代理时那几个必须写的头项目上了 Nginx 之后别人访问的是 Nginx 的 80 端口Nginx 再转发给本机的 8080。这时候如果 Nginx 的proxy_set_header没配好后端拿到的信息就是错的日志里记录的客户端 IP 全是127.0.0.1后端做 Host 校验过不去跳转链接生成出来是内网地址。一份我常用的最小可用配置server { listen 80; server_name _; location / { proxy_pass http://127.0.0.1:8080; proxy_set_header Host $host; proxy_set_header X-Real-IP $remote_addr; proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for; proxy_set_header X-Forwarded-Proto $scheme; } }listen 80没有指定 IP默认就是监听所有地址这一点是符合预期的。server_name _表示不挑域名用 IP 访问也能匹配到。proxy_set_header Host $host很关键。它会把你请求时的 Host 原样传给后端。如果写成proxy_set_header Host 127.0.0.1:8080后端生成的跳转链接、静态资源地址就全指向 127.0.0.1 了同事的浏览器拿到这种地址又去找他自己的机器。X-Real-IP和X-Forwarded-For是为了让后端日志记录真实客户端 IP不然排查问题时你看到的全是 Nginx 本机地址。用 Spring Boot 的话还得打开转发头识别server.forward-headers-strategyframework不然request.getRemoteAddr()拿到的还是 Nginx 的地址而且request.getScheme()会以为是 http 而不是 https。6. 排查实录与场景化配置清单6.1 一次同事打不开的完整定位链路讲个真实的排查过程。项目是 Spring Boot Vite本机一切正常同事打开http://192.168.1.20:5173显示超时。第一步确认监听地址。在本机跑netstat -ano | findstr :5173看到127.0.0.1:5173。Vite 默认只监听回环这是问题的一半。改成host: 0.0.0.0重启。第二步同事再试报ERR_CONNECTION_TIMED_OUT。还是超时。让他Test-NetConnection 192.168.1.20 -Port 5173结果是TcpTestSucceeded: False。ping IP 是通的。于是锁定防火墙。New-NetFirewallRule放行 5173同事能连上了页面出来了。第三步页面能开但接口请求全部 404。打开控制台看前端请求的是http://192.168.1.20:8080/api/xxx而后端在 8080但前端没有配代理直接打 8080。8080 防火墙没放行。放行 8080。第四步8080 通了但浏览器报 CORS。后端加跨域配置解决。第五步同事说页面样式全乱了。看控制台静态资源请求的地址是http://127.0.0.1:5173/...。这是 Vite 的 HMR 和资源路径配置问题需要设置base或者用相对路径。这个属于工程配置细节跟访问本身关系不大但确实是个连锁坑。整个链路走下来问题的核心就一句每一层都得单独放行放行完还得验证下一层。一次解决一层比一次性乱改快得多。6.2 虚拟机、WSL2、Docker 里的项目怎么被宿主和其他机器访问这三种场景的坑各不相同值得单独说。VMware 虚拟机里的项目关键看网络模式。NAT 模式下虚拟机和宿主在独立网段宿主的其他机器访问不到虚拟机服务除非配端口转发桥接模式Bridge下虚拟机会从物理网络的路由器拿一个同网段 IP其他机器直接能访问。所以想让别人访问虚拟机里的项目用桥接这是最常见也最省心的做法。宿主机访问虚拟机如果用 NAT配端口转发虚拟机设置 → 网络适配器 → 网络连接 NAT → 编辑 → 端口转发加一条宿主机端口 8080 → 虚拟机 IP:8080。WSL2 里的项目问题在于 WSL2 是一个轻量虚拟机有自己的虚拟 IP172.x.x.x而且每次重启 IP 会变。要在局域网其他机器访问 WSL2 里的服务需要在 Windows 上做端口转发# 拿到 WSL2 的 IP wsl hostname -I # 做转发 netsh interface portproxy add v4tov4 listenport8080 listenaddress0.0.0.0 connectport8080 connectaddress172.20.100.10listenaddress0.0.0.0是关键写127.0.0.1就只有本机能访问。同时还得放行 Windows 防火墙 8080。因为 WSL2 IP 会变我一般写成脚本每次重启后重新执行一遍$wslIp (wsl hostname -I).Trim().Split( )[0] netsh interface portproxy delete v4tov4 listenport8080 listenaddress0.0.0.0 netsh interface portproxy add v4tov4 listenport8080 listenaddress0.0.0.0 connectport8080 connectaddress$wslIpDocker 里的项目关键是-p参数的写法docker run -d -p 0.0.0.0:8080:8080 myapp写成-p 8080:8080默认也是绑定所有地址但如果你写成-p 127.0.0.1:8080:8080外面就访问不到。Docker 的端口映射是写进 iptables 的所以Docker 的端口放行不走 ufw改 ufw 规则没用得改 Docker 自己的配置或者直接操作 iptables这一点很多人不知道。如果是 docker composeservices: web: ports: - 0.0.0.0:8080:80806.3 一页速查清单把上面所有内容压缩成一份清单下次遇到问题直接照着过检查项命令/位置期望结果服务监听地址netstat -ano | findstr :端口0.0.0.0:端口本机防火墙netsh advfirewall firewall show rule nameall该端口有入站允许规则局域网络可达ping 本机IP有回包端口可达Test-NetConnection IP -Port 端口TcpTestSucceeded: TrueIP 是否为物理网卡ipconfig | findstr /i IPv4非 .1 结尾有默认网关前端请求地址浏览器控制台 Network非 localhostHost 校验服务日志无 Blocked/Invalid HostCORS浏览器控制台无跨域报错我自己在实际操作中的体会是先在本机确认监听地址再从对方主机确认端口可达最后处理应用层。顺序反了就会陷入改了一堆配置但不知道哪个起了作用的混乱。还有一个特别实用的小习惯——在项目根目录放一个dev-access.md把你常用的 IP、端口、防火墙命令、代理配置记下来换网络环境或者过几个月再看的时候能省下重新摸索的时间。这些东西本身不难难的是每次都要重新回忆一遍。
阅读完成 · 觉得有帮助？
