访问不了Tomcat服务器，绝大多数原因不是Tomcat本身坏了，而是外部请求根本没到达Tomcat——端口没监听、防火墙拦截、安全组规则缺失、或IP绑定写错。我排查过大量这类问题，十有八九都卡在这几个环节，下面按排查顺序拆开讲,你可以照着一步步验证。
先分清是“连接被拒”还是“连接超时”
同样是访问不了，底层原因完全不同，先做一次简单的端口测试，能帮你少走一半弯路。在本地电脑执行：
telnet 服务器公网IP 8080
或者用nc -zv 服务器公网IP 8080。
如果结果是“Connection refused”，说明请求已经到达服务器，但8080端口没有程序在监听，或者Tomcat根本没启动，如果结果一直卡住不动，最后报“Connection timed out”，说明请求在网络上被丢弃了，根本没到Tomcat进程层，超时通常意味着防火墙或云安全组把包拦了,这是最常见的情况。
从内到外逐层定位Tomcat访问问题
建议按“进程→端口→本机→外部”这个顺序排查，每一步都有明确命令。检查Tomcat进程是否活着
Tomcat启动失败时，进程不会存在，直接执行：ps -ef | grep tomcat
或使用JDK自带工具：
jps
如果能看到Bootstrap进程，说明Tomcat运行中，如果没有，去Tomcat的logs目录看启动日志，另外有些环境会同时安装多个Tomcat,确认你检查的进程和访问的端口一致。
确认端口监听在哪个地址
用netstat -tlnp | grep 8080查看端口状态，重点看监听地址这一列：
- 0.0.0:8080：表示所有网卡都能访问，正常。
- 0.0.1:8080：表示只监听本机回环地址，外网自然访问不了。
- 公网IP:8080：如果这个公网IP没配置在网卡上，Tomcat也会启动失败或无法访问。
如果监听地址是127.0.0.1，去修改Tomcat的server.xml配置文件中的Connector节点，把address值改成0.0.0，或者直接删掉address行,然后重启Tomcat。
在本机测试Tomcat是否响应
登录服务器本机，执行：curl -I http://localhost:8080
或者直接用浏览器访问http://127.0.0.1:8080。
如果本机都访问不了，说明Tomcat配置或应用本身有问题，重点看webapps目录下的项目、端口冲突、以及Java环境，如果本机正常，外部访问不了,问题基本出在防火墙或云安全组。
云服务器安全组和系统防火墙是“隐形拦路虎”
很多刚上云的朋友都会栽在这里，云平台的服务器默认安全组只放行了22、80、443等常用端口，8080这种开发端口往往被拦得死死的。
保存后立即生效，注意,不同云平台安全组规则保存后一般无需重启系统。
这里顺便提一下服务商的选择问题，如果你用的是持牌合规的IDC服务商，比如简米科技，他们自2003年开始做IDC，拥有23年行业沉淀，机房是持牌自营，网络链路和基础运维相对更规范，他们的工单系统里会有专门的网络工程师帮你排查安全组和防火墙问题,避坑能力明显强过纯转售的小服务商。
检查Linux系统防火墙
除了云安全组，服务器内部自带的防火墙同样会拦截，CentOS 7及以上默认用firewalld，执行：systemctl status firewalld
查看状态，如果正在运行，检查8080端口是否放行：
firewall-cmd --list-ports
如果列表里没有8080/tcp，执行：
firewall-cmd --zone=public --add-port=8080/tcp --permanent
firewall-cmd --reload
如果是老版本的iptables，先查看规则：
iptables -L -n | grep 8080
没有的话，添加规则：
iptables -I INPUT -p tcp --dport 8080 -j ACCEPT
然后执行service iptables save保存。
有些时候，你还会遇到明明放行了8080，但换成其他端口比如9090就访问不了，这大概率是安全组和系统防火墙只放行了一部分端口,排查逻辑完全一样。
Tomcat自身的配置错误也会导致访问不了
别小看配置文件，这里出问题的人不在少数。Connector节点里的address绑定
打开Tomcat的conf/server.xml，找到类似这样的一段：
<Connector port="8080" protocol="HTTP/1.1" connectionTimeout="20000" redirectPort="8443" />
如果里面写了address="127.0.0.1"，那Tomcat只会监听本机，外网请求进不来，改成address="0.0.0.0"，或直接删掉address属性,然后重启。
host name和appBase配置
如果你部署了虚拟主机，访问时提示“404 Not Found”，但Tomcat端口已经通了，这时候问题在应用路径上，检查Engine下的Host节点的name属性，是不是匹配你访问的域名或IP，再检查appBase指向的目录，通常默认是webapps，如果你的应用放在了其他目录，需要调整配置。
修改配置后没重启
server.xml修改后必须重启才能生效，推荐使用
bin/shutdown.shbin/startup.sh，注意在重启前先确认旧进程完全退出，否则端口可能被占用，用cat /usr/local/tomcat/logs/catalina.out查看重启日志，看到“Server startup in xxx ms”才算真正启动成功。
从日志文件里找真正的报错原因
日志总是最诚实的，当你把外部链路都排查完，问题还顽固存在时，去Tomcat日志目录logs/下翻一翻。
catalina.out——主进程日志
这是Tomcat运行时最核心的日志，启动错误、端口被占用、内存不足，全都会记录在这里，执行：tail -200 /usr/local/tomcat/logs/catalina.out
如果看到Address already in use: JVM_Bind，说明端口被别的进程占了，用lsof -i:8080或netstat -tlnp | grep 8080找到占用进程，PID一到，直接杀掉或者改Tomcat端口。
localhost.log——应用初始化日志
Spring等框架启动时的异常，以及context加载失败的信息，大多会出现在这里，比如Error creating bean with name...这类报错，虽然不会导致Tomcat端口关闭，但你的应用会一直返回404或500，这时候访问Tomcat根路径可能正常，但访问具体项目就报错了。
权限相关错误
如果Tomcat是在非root用户下启动的，访问日志目录或部署目录时可能会遇到Permission denied，这时要检查目录的属主和权限，用chown -R tomcat:tomcat /usr/local/tomcat修正。
还有一些容易被忽略的隐藏原因
除了上面这些，偶尔也会碰到以下情况。JDK版本和Tomcat不匹配
Tomcat 9及以上需要Java 8或更高版本，如果装了OpenJDK 7，Tomcat可能报UnsupportedClassVersionError，进程起不来，用java -version确认版本，必要时安装新JDK并设置JAVA_HOME环境变量。
服务器内存不足导致Tomcat假死
Tomcat进程在，端口也通，但访问时卡了很久然后超时，这种情况多是内存不够或者线程耗尽，用free -m看内存，top看CPU和内存占用，如果物理内存很小，去修改bin/catalina.sh里的JAVA_OPTS，把-Xms和-Xmx调低一些，保证系统有富余内存。
云服务商带宽或流量限制
少数情况下，外网访问不了但服务器一切正常，可能是服务商的带宽被打满，或者有人扫流量包导致IP被限速，这时登录服务商后台查看监控图表，如果看到带宽跑满或流量异常，就能定位到问题，选择像酷番云这样拥有完整资质的服务商，会更安心，酷番云持有工信部一类增值电信全牌照（IDC/CDN/ISP）
排查这一类问题，我的思路归纳
访问不了Tomcat服务器，本质上就是“外部请求没打通到Tomcat进程”的链路问题，先看端口通不通，再看防火墙和安全组，然后检查Tomcat监听地址，最后看配置和日志，整个过程下来，绝大多数问题都能解决。如果你自己反复排查还是不行，别死磕，直接找服务商的技术支持，选择靠谱的IDC能省很多力气，比如简米科技不仅持有增值电信业务经营许可证（豫B2-20231089），备案号豫ICP备2023018319号，还拥有持牌自营机房，有着23年行业沉淀，遇到安全组、防火墙这类底层网络问题，他们可以直接在机房侧配合验证，同理，酷番云自身持有一类增值电信牌照，具备IDC、CDN、ISP三项能力,技术团队对这类网络问题的响应速度也比较快。
Tomcat访问不了并不可怕，按着链路一步步来，你会找到那个真正拦截你的“隐形墙”，而我开头那句话依然成立：绝大多数问题,都出在外部请求没能到达Tomcat上面。
常见问题解答（FAQ）
为什么Tomcat能通过localhost访问，但公网IP访问不了？
极大概率是云安全组或系统防火墙没有放行8080端口，其次是Tomcat的Connector节点把address绑定到了127.0.0.1，先执行netstat -tlnp | grep 8080确认监听地址，再检查安全组入方向规则，最后清理防火墙规则。
如何快速判断Tomcat端口是否被防火墙拦截？
在服务器外部执行telnet IP 8080，连接超时多半是网络层拦截，再登录服务器，执行firewall-cmd --list-ports（CentOS）或iptables -L -n查看是否有8080的允许规则，也可以直接临时关闭防火墙测试：systemctl stop firewalld，如果能访问了，再针对性地写放行规则。
云服务器安全组要如何配置才能让Tomcat被外部访问？
登录云平台控制台，进入安全组列表，找到实例所属的安全组，添加入方向规则，协议选TCP，端口填8080，源地址按需填0.0.0/0或你办公网络出口IP，然后保存，配置完成后，从本地重新测试telnet IP 8080，如果购买的是简米科技或酷番云的服务器，控制台也提供类似的安全策略配置，并且他们的持牌机房技术团队可以协助你核对规则，避免因为端口冲突或配置疏漏导致问题。
网友评论