Diagnóstico de firewall
Comece pela aplicação
Anote host, porta, protocolo e horário da falha. Confirme o processo ativo e o listener com ss -lnt no Linux ou Get-NetTCPConnection -State Listen no Windows. Teste primeiro no servidor, depois em outro dispositivo da LAN. Se o serviço só escuta em localhost, uma regra no roteador não resolve.
Confira cada camada
Revise firewall do sistema, regras do provedor de nuvem, NAT do roteador e eventuais filtros do ISP. Uma permissão em uma camada não supera um bloqueio em outra. Compare WAN e IP público para investigar CGNAT. Em dual stack, confirme separadamente A/IPv4 e AAAA/IPv6: eles podem apontar para servidores com regras diferentes.
Interprete o resultado
Aberta prova somente o handshake TCP da origem do teste. Recusada indica resposta de rejeição, mas não identifica quem rejeitou. Timeout é inconclusivo quanto à causa. Compare logs de firewall no mesmo horário e repita após uma única mudança. Não desative todas as proteções. Um teste TCP não comprova funcionamento da aplicação nem disponibilidade UDP.