域名能访问而IP不能访问，绝大多数原因是服务器上的Web服务（如Nginx、Apache）绑定了特定域名，当请求通过IP访问时，服务器找不到匹配的站点配置，于是拒绝或返回默认页面，少数情况则是防火墙策略、CDN回源或HTTPS证书校验在作怪。
这个现象在网站运维和日常开发中相当常见，尤其是刚买完云服务器、域名备案也通过后的那几天，很多人第一反应是服务器坏了，其实服务器本身很健康，问题出在“你如何告诉服务器你是谁”。
域名能访问IP不能访问？先搞懂服务器认领逻辑
Web服务默认“看脸认人”：Host头决定一切
无论是Nginx还是Apache，它们处理HTTP请求时，除了看IP和端口，还会检查请求头里的Host字段，这个字段记录了你访问的域名，当你在浏览器里输入example.com，请求头中的Host就是example.com；输入IP时,Host就是那串数字。
服务器上的站点配置通常写成这样：
server {
listen 80;
server_name example.com www.example.com;
}
这段配置的意思是：只有Host头是example.com或www.example.com的请求，才会被这个站点处理，当IP访问时，Host头变成168.1.1之类，服务器翻遍所有配置也找不到匹配项，于是走默认站点或直接返回404、403。
这就是最常见的“域名能访问ip不能访问服务器”场景，解决办法有两种：一是让该站点响应IP访问，在server_name后面追加IP地址；二是单独设置一个默认站点处理IP请求，告诉用户“请用域名访问”，行业共识认为，暴露IP访问往往意味着绕过了CDN和域名防护，增加被直接攻击的风险，所以很多运维故意只让域名生效,IP访问一律拒绝。
云服务器安全组和系统防火墙在“挡路”
很多云厂商的控制台里有一个“安全组”概念，默认情况下，安全组只放行了80和443端口，但如果你自定义规则时做成了“只允许域名来源的流量”，那就不太对劲了，安全组是基于IP的，它不认域名，所以这里通常不是安全组本身拦你，而是系统防火墙比如firewalld或iptables里设置了源地址白名单。
比如你在服务器上执行过类似这样的命令：
iptables -A INPUT -s example.com -p tcp --dport 80 -j ACCEPT
这是无效的，因为iptables不解析域名，它只认IP，如果之前误用了IP白名单，只允许某个特定IP访问80端口，而你用其他IP直连服务器自然会被拒，此时域名能访问是因为你的请求恰好经过了CDN或云调度，出网IP在放行范围内；而本地直连IP则不在白名单里。
排查方法很直接：在本地电脑执行
ping 你的域名，看解析出来的IP和你“访问不了的那个IP”是否一致，如果域名解析到CDN节点或负载均衡器，而Web服务器IP隐藏在后方，那么公网直连IP访问本就不该被允许，因为你的流量根本没到源站,被中间层的安全策略拦下或直接丢弃了。
服务器IP不能访问原因排查：从配置到命令一步步来
第一步：确认你访问的IP就是服务器真实公网IP
这个坑特别隐蔽，很多小型网站用了CDN加速，域名解析到CDN节点IP，而源站IP是另一回事，你从域名后台或DNS记录里看到的A记录可能是CDN提供的“别名”，此时域名访问正常，直接访问那个CDN IP则可能返回403或超时,因为CDN节点只接受带合法域名的请求。
验证方法：
- 在服务器上执行
curl ifconfig.me,得到服务器出口公网IP。 - 再执行
ping 你的域名,对比解析结果。 - 如果两者不一致，说明你的域名走了代理或CDN,IP直连自然不行。
这种情况下，真正的“服务器IP不能访问”不是故障，而是架构设计，如果你需要IP能访问，就得关掉CDN回源保护,让源站直接监听公网。
第二步：检查虚拟主机配置里是否绑定了IP
这是Linux服务器上最常见的原因，以Nginx为例，默认配置通常有一个default_server，所有未匹配的请求都会落到这个站点上，如果这个站点目录是空的或返回403,IP访问就会失败。
实操命令：
nginx -T | grep server_name
这会列出所有站点和域名绑定，找到对应的server块，确认server_name是否包含你的IP，如果没有，IP请求就永远匹配不上，同理，Apache的配置文件在/etc/httpd/conf/httpd.conf或/etc/apache2/sites-enabled/里，用grep -r "ServerName"查。
第三步：看HTTPS证书是不是只签给了域名
到了2026年，HTTPS基本是标配了，如果你在浏览器里用https://IP访问，会看到证书错误警告，浏览器会明确提示“证书与此站点不匹配”，直接拦截，看起来就像“IP访问不了服务器”。
更麻烦的是，如果你的Web服务强制跳转HTTPS（比如Nginx配置了return 301 https://$host$request_uri;），那么HTTP访问IP时会被重定向到https://IP，紧接着就是证书校验失败，这时域名访问正常，因为证书里包含域名,IP不在证书里。
解决思路有两个方向：一是给IP单独签一张SSL证书（公共IP证书成本高，通常不推荐）；二是让服务器对IP访问返回一个不带跳转的提示页面，说“请使用域名访问”，行业专家指出，这不是服务器故障，而是Web服务策略与浏览器安全机制共同作用的结果。
第四步：检查站点根目录的权限和默认文档
有时候服务器其实已经处理了IP请求，但返回的默认站点目录里没有任何可访问的文件，比如Nginx的默认站点location /指向/usr/share/nginx/html/，如果你把网站文件放在别处，这个目录是空的，访问IP就会得到403 Forbidden。
用命令快速验证：
curl -I http://你的IP
观察返回状态码，403说明权限或目录问题，404说明没有默认首页文件，502/504则可能是后端服务没启动，域名访问正常只是因为域名匹配到了正确的站点目录,而IP访问落到了空的默认站点上。
哪些场景下域名正常但IP必须不能访问？
这里要区分“故障”和“安全策略”,以下情况属于合理设计：
- 多站点虚拟主机：一台服务器跑多个网站，每个域名指向不同目录，如果不靠Host头区分，IP访问根本不知道该给你哪个站，此时IP访问返回默认页或直接拒绝，是服务器在“保护”各站点数据隔离。
- 服务器配置了反向代理：Nginx把请求转发给内网应用，比如Tomcat或Node.js，代理配置里没有定义IP对应的转发规则，IP访问到代理层就被卡住，域名访问则通过
proxy_set_header Host $host正常转发。 - CDN回源限制：源站防火墙只允许CDN节点的IP段访问80/443端口，你从家里宽带直连源站IP，自然会被防火墙丢弃，这属于防护措施,避免源站被扫描和DDoS攻击。
很多做外贸独立站或国内备案站点的站长，会遇到一个更具体的场景：域名能访问IP不能访问服务器，然后网站后台登录不了，其实是因为后台程序（比如WordPress）在安装时把站点地址写成了域名，数据库里存的就是https://example.com，系统收到IP请求后会强制跳转到域名，如果此时本地没解析到域名（比如hosts文件被改）,就会陷入循环或者超时。
域名访问正常IP访问失败？用这几条命令快速定位
不用再猜了，按顺序执行以下操作,5分钟内就能找出原因：
-
检查DNS解析
dig +short 你的域名 nslookup 你的域名
看结果是否指向服务器公网IP，如果指向了CDN或云盾IP,那么IP访问失败是正常的。
-
测试端口连通性
telnet 你的IP 80 curl -v http://你的IP
观察HTTP响应头里
Server字段和返回体，如果是Nginx默认欢迎页，说明匹配到了default_server；如果是空白,可能是防火墙白名单问题。 -
查看Web服务日志
Nginx日志路径通常为/var/log/nginx/access.log和error.log，访问一次IP后，用tail -n 50
查看发生了什么，日志里如果看到
host="你的IP"但没有对应server块,那就是配置匹配问题。 -
检查监听端口是否包含公网网卡
ss -lntp | grep :80
确认服务器在
0.0.0:80或公网IP上监听，而不是只监听0.0.1，如果只监听本地回环，域名能访问是因为经过代理转发,而公网IP直连根本无法到达Web服务。
域名和IP的访问差异，本质是请求上下文不同
浏览器访问域名时，DNS解析、Host头、TLS SNI（服务器名称指示）三件事同时发生，服务器从SNI里读取域名，从Host头里确认域名，两者配合才能找到正确的站点证书和应用配置，直接访问IP时，SNI为空或就是IP，Host也是IP,服务器只能按照默认逻辑处理。
所以下次再遇到“域名能访问ip不能访问服务器”，先冷静下来，别急着重启服务，检查一下server_name是否包含IP，或者确认你的架构是否本就打算屏蔽IP直连，从安全角度看，限制IP直连反而是好习惯，毕竟高频扫描和漏洞探测大多针对IP进行，域名需要先解析到IP,攻击门槛略高一层。
最后给出一个通用结论：如果域名解析的IP就是你服务器的公网IP，且没有CDN、没有安全组拦截，那么99%的情况就是Web服务配置中没有为IP请求定义处理规则，补上一条默认站点规则，让IP请求返回一个友好提示或跳转到域名,问题就能立即解决。
Q&A：域名能访问IP不能访问服务器”的常见疑问
为什么域名能访问但IP一直超时，ping IP却能通？
ping通意味着网络层可达，服务器在线且防火墙没有丢弃ICMP包，访问超时则说明TCP层到80/443端口被拦截，或者Web服务没有监听公网地址，建议检查安全组和系统防火墙，确认端口是否放行，再用sslh或nc -vz IP 80测试端口连通性。
服务器绑定了多个域名，IP访问时如何指定访问某个站点？
这是Nginx和Apache的Host头机制决定的，浏览器无法手动切换Host头,你可以用curl模拟：
curl -H "Host: example.com" http://你的IP
这样发送的请求虽然目的地是IP，但Host头是域名，服务器会按域名路由到对应站点，浏览器默认无法做到,所以这种场景下的IP访问失败是符合预期的。
换了新服务器后IP不能访问域名正常，是什么原因？
大概率是新服务器上没有配置旧域名的虚拟主机，但DNS已经把域名解析到新IP上了，域名访问正常是因为你访问的是新服务器上的同名站点配置，而IP访问却因为新服务器的默认站点为空而失败，检查新服务器上server_name是否与旧服务器保持一致即可。
图片来源于AI模型，如侵权请联系管理员。作者：酷小编，如若转载，请注明出处：https://www.kufanyun.com/ask/756989.html
