看到一条允许规则不代表流量一定能通过。防火墙按顺序处理，前面的拒绝、跳转链和连接状态规则都会改变最终结果。

从默认策略开始

确认 INPUT、FORWARD 和 OUTPUT 的默认策略，再追踪自定义链。云平台安全组和系统防火墙属于两层控制，也需要分别检查。

观察命中计数

发起一次可控连接后查看规则计数是否增加。没有命中通常说明流量没到服务器、协议族不对，或已经被前置规则处理。

修改前准备回滚

远程修改管理端口规则时，应设置自动回滚任务并保持已有 SSH 会话。新连接验证成功后，再取消回滚。