连接被拒绝的主要原因包括服务未运行、防火墙拦截或服务监听地址错误。1. 首先确认服务是否运行，使用 systemctl status 检查状态，若未运行则用 systemctl start 启动；2. 检查端口监听情况，使用 netstat -tulnp 或 ss -tulnp 确认服务监听的地址和端口，若仅监听 127.0.0.1 则需修改配置文件使其监听 0.0.0.0 或外部ip；3. 检查防火墙规则，使用 iptables -l 或 firewall-cmd –list-all 查看是否放行目标端口，必要时添加允许规则；4. 检查网络连通性，通过 ping 和云平台安全组规则确保网络可达；5. 检查 dns 解析，使用 nslookup 或 dig 确保域名解析正确；6. 排查服务配置错误，如数据库凭据或 web 服务器虚拟主机配置；7. 检查系统资源限制，使用 top 或 htop 查看资源使用情况。即使服务运行也可能因监听地址错误、防火墙阻止或资源耗尽导致连接失败。可通过临时禁用防火墙判断是否为其所致。快速定位问题应从服务状态、端口监听、防火墙逐步排查，再深入网络、dns和服务配置，结合 tcpdump 抓包辅助分析。
为什么即使服务运行了，仍然出现 “Connection refused”?
服务运行并不代表它在监听正确的地址和端口。常见的原因是服务配置错误，比如监听地址只设置为 127.0.0.1，或者防火墙阻止了外部连接。另外，服务可能因为资源限制而无法处理新的连接请求。
如何确定是防火墙阻止了连接？
最直接的方法是暂时禁用防火墙，然后再次尝试连接。如果禁用防火墙后连接成功，那么可以确定是防火墙规则导致的问题。使用 systemctl stop firewalld (firewalld) 或 iptables -F (iptables) 禁用防火墙。禁用后，记得重新启用防火墙并添加正确的规则。
遇到 “Connection refused” 时，如何快速定位问题？
首先，从最简单的步骤开始，确认服务是否运行。然后，检查端口监听情况，确保服务在监听正确的地址和端口。接下来，检查防火墙规则。如果以上步骤都没有发现问题，再考虑网络连通性、DNS 解析、服务配置等因素。使用工具如 tcpdump 或 wireshark 抓包分析，可以更深入地了解网络流量情况，帮助定位问题。例如，tcpdump -i any port 8080 可以抓取所有端口为 8080 的网络包。
