AWS免实名 腾讯云 CVM 无法访问外网？检查这 5 个最容易忽略的配置坑
很多人一上来就怀疑“腾讯云网络有问题”，但我处理过的 CVM 出网故障里，真正是平台故障的比例很低。更常见的是：实例买对了，开机也成功了，控制台看着一切正常，结果就是连不上外网。问题通常卡在公网能力、出站规则、路由、系统网络、以及账户/账单状态这几层。
如果你现在正卡在“能登录 CVM，但 ping 不通、curl 不通、软件包下不来、Docker 拉不动镜像”的状态，建议别一项项乱试，按下面顺序排查，通常 10 分钟内就能定位。
先判断：到底是“完全不能出网”，还是“只能访问一部分网站”
- 连公网 IP 都不通：优先看公网 IP / EIP / 带宽 / 路由 / 安全组。
- 能 ping 公网 IP，但打不开域名：大概率是 DNS 配置问题，或者系统里把解析服务器改坏了。
- 能访问一些站点，某些站点超时：常见于本地防火墙、目标站点限制、代理配置残留，或者出口 IP 被对方风控拦了。
- 刚开始能用，过一阵子突然不行：先查欠费、套餐到期、按量计费余额不足、实例被停机或限流。
1. 只买了 CVM，没有真正开通“公网出口”
这是最容易被忽略的一点。很多用户下单时只关注“服务器创建成功”，但没确认实例是否真的具备公网访问能力。
在腾讯云里，仅有私网 IP 的 CVM，是不能直接访问互联网的。你需要确认以下几件事：
- 实例是否绑定了公网 IP或弹性公网 IP（EIP）；
- 是否购买了对应的公网带宽；
- 实例所在子网是否走的是能出网的路由；
- 如果是多网卡或多子网，当前业务网卡是不是那块“出网网卡”。
我见过不少案例：实例控制台上显示“有公网地址”，但其实是测试时临时分配的，后面重装系统、解绑网卡、切换子网后，公网能力就没了。还有一种更隐蔽：你以为是 EIP 已绑定，实际上绑定的是旧实例，当前这台新机器根本没接上。
建议做法：打开实例详情页，逐项核对“公网 IP / EIP / 带宽计费方式 / 当前绑定关系”，不要只看首页列表。
2. 安全组只放了入站，出站被你自己拦住了
这是第二个高频坑。很多人配置安全组时，只想着“别人能不能连进来”，却忘了 CVM 想访问外网，关键是出站规则。
常见错误配置有这些：
- 只放通了 22、3389 这类入站端口；
- 出站规则写得过紧，只允许访问某个内网段；
- 为了“更安全”，把
0.0.0.0/0的出站全部删掉了； - 只放了 TCP 443，结果 DNS 53 没放，域名解析失败。
实际排查时，你可以先临时放开最基础的出站访问，再逐步收紧。比较常见的基础组合是：
- TCP 80 / 443：网页、API、包管理器、镜像拉取；
- UDP/TCP 53：DNS 解析；
- ICMP：便于
ping测试； - 必要时放行目标业务端口，而不是只看“服务器能不能被连进来”。
经验判断：如果你在 CVM 上能直接 curl 一个公网 IP，但访问域名失败，先别急着查云平台，先查 DNS 和安全组出站。
3. 路由表或子网关联错了，流量根本没走到公网出口
这类问题在 VPC 场景里非常常见，尤其是业务从“单机测试”扩展到“多子网、多网卡、多环境”之后。
典型情况有三种：
- 实例在私有子网里，没有绑定 NAT 网关或公网出口；
- 自定义了路由表，但没有关联到当前子网；
- 默认路由指向了错误的下一跳，比如换了 VPC 之后还保留旧配置。
还有一个很容易被忽略的点：多网卡机器默认走哪块网卡。有些业务镜像会自动识别主网卡，但你的实际出网路径可能被改成了内网网卡，结果公网请求全都卡住。
排查建议很直接：看路由表里是否存在到 0.0.0.0/0 的正确出口；再确认这个路由表是不是绑定到了当前子网。不要只看“已经有 NAT 网关”，要看“当前子网是否真的在用它”。
4. 服务器系统层把自己“关门了”
很多人能在控制台把安全组、EIP、路由都配对了，但 CVM 里还是不通。这个时候就要看操作系统本身。
最常见的系统层问题包括：
- AWS免实名 firewalld / ufw / iptables 拦截了出站；
- DNS 文件被改坏，
/etc/resolv.conf指向了失效解析服务器； - 网络服务异常，重启后网卡没自动拉起；
- 应用自己配置了代理，但代理地址失效；
- AWS免实名 系统只配置了 IPv6，没有可用的 IPv4 出口，但你访问的目标站点只支持 IPv4。
我建议你分两步测：
- 先在 CVM 内部
ping一个公网 IP，看基础连通性； - 再用
curl访问域名，看是不是 DNS 或 HTTPS 问题。
如果“IP 通、域名不通”，通常不是云网络，而是 DNS；如果“域名通、某些站点不通”，则要看防火墙、代理和目标站点策略。
5. 其实不是网络故障，而是账户、账单或风控把资源限制了
这个坑很多新用户都会忽略，尤其是刚注册腾讯云国际站账号，或者刚做完实名认证、企业认证、充值之后。
以下几种情况，会让你感觉像“CVM 上不了网”，但根因在账户侧：
- 实名认证或企业认证未完成，部分资源开通后仍处于限制状态；
- 支付方式触发风控审核，比如信用卡异地支付、PayPal/卡段异常、账单信息与注册资料不一致；
- 账户欠费或余额不足，按量实例可能直接受限，带宽或相关服务会被停用；
- 新账号配额较低，高规格实例、部分地域、部分公网能力需要额外审核；
- 企业资料有差异，公司名、地址、证件、联系人信息不一致，容易卡审。
尤其是国际站，常见支付方式一般是信用卡、PayPal、部分场景下的电汇，不同国家/地区支持情况不一样。实际操作里，卡能不能扣款成功，不等于资源就一定马上可用。有些订单会走人工审核，时间从几分钟到 1 天不等。
实务建议：新账号先把实名认证和企业资料一次性填准，不要反复改名、改地址、换卡。风控最怕信息前后不一致。
不同出网方案怎么选，成本差别很明显
| 场景 | 推荐方式 | 成本感受 | 适合谁 |
|---|---|---|---|
| 临时测试、短期验证 | 按量公网能力 / 临时 EIP | 前期低，适合短周期 | 开发、POC、联调 |
| 单台机器长期稳定出网 | 固定带宽 + EIP | 结构清晰，便于预算 | 生产单机、轻量应用 |
| 多台内网服务器统一出网 | NAT 网关 | 组件费叠加，但管理方便 | 多业务、多子网环境 |
| 高频下载、镜像拉取、API 调用多 | 更稳的固定带宽或专用出口规划 | 月度费用更可控 | 持续跑任务的业务 |
如果你只是为了“先把外网通了”，别一上来就买复杂架构。多数场景里，先用 EIP + 基础安全组 + 正确路由 就够了。等业务稳定后，再决定要不要上 NAT 网关、分子网、分出口。
真实排查顺序：我一般这么做
- 先看实例是否有公网 IP / EIP，带宽是否正常；
- 看安全组出站是否放通 80、443、53；
- 看子网路由表是否关联正确；
- 进服务器看防火墙和 DNS；
- 最后查账户余额、认证状态、风控审核和是否欠费。
AWS免实名 常见问题
Q：控制台显示有公网 IP，为什么还是访问不了外网？
A：最常见是安全组出站、路由表、系统防火墙三处之一有问题。很多人只看到了 IP，没看规则。
Q：能 ping 公网 IP，但浏览器打不开网页，怎么判断？
A：先测 DNS。能通 IP 说明基础链路没大问题，域名不通通常是解析或 53 端口被拦。
Q：新买的腾讯云账号，为什么资源开通后还是不能立刻用？
A：认证、支付、风控审核都可能让资源处于延迟可用状态，尤其是新账号和首次高额支付。
Q：临时调试外网，怎么控制成本？
A：短期优先按量或临时 EIP；如果只是几天验证，不建议一开始就做高配固定带宽。
如果你现在正卡在出网问题上，建议不要反复重装系统。先把“公网能力、出站安全组、路由表、系统 DNS、防火墙、账户状态”这六项逐条对上，通常就能定位到真正的断点。