Linux系统端口

                                            

Linux系统端口开放全攻略：3种方法解决90%的运维需求


    
在Linux服务器运维中，端口开放是最基础却最容易出错的操作之一。本文将深入剖析3种主流端口开放方法，通过实际案例演示如何避免常见陷阱，让你的服务器既安全又高效。



    
一、防火墙基础知识扫盲
    
现代Linux系统主要使用两种防火墙工具：
    

        
iptables：传统防火墙工具，直接操作内核netfilter
        
firewalld：RHEL/CentOS 7+的默认动态防火墙管理工具
    
    
⚠️ 重要提醒：Ubuntu 20.04+默认使用ufw，而CentOS 8+则同时支持firewalld和nftables



    
二、firewalld实战操作
    
案例1：为Web服务器开放80端口
    
# 检查firewalld状态
systemctl status firewalld

# 添加http服务（自动包含80端口）
firewall-cmd --permanent --add-service=http

# 重载配置
firewall-cmd --reload

# 验证开放结果
firewall-cmd --list-all
    
    
高级技巧：
    

        
限制源IP：--add-rich-rule='rule family="ipv4" source address="192.168.1.100" port port="3306" protocol="tcp" accept'
        
设置临时规则（测试用）：去掉--permanent参数
    



    
三、iptables终极指南
    
案例2：开放MySQL的3306端口
    
# 查看现有规则
iptables -L -n -v

# 添加规则（永久生效需要保存）
iptables -A INPUT -p tcp --dport 3306 -j ACCEPT

# CentOS保存规则
service iptables save

# Ubuntu持久化方案
iptables-save > /etc/iptables.rules
    
    

        
⚠️ 易错点注意
        

            
规则顺序决定优先级
            
默认策略为DROP时需要同时开放22端口
            
Docker等容器会修改iptables规则
        
    



    
四、UFW极简操作（Ubuntu推荐）
    
对于新手，UFW提供了更友好的交互方式：
    
# 启用UFW
sudo ufw enable

# 开放SSH端口（默认拒绝所有）
sudo ufw allow 22/tcp

# 按服务名开放
sudo ufw allow http

# 高级：限制访问频率
sudo ufw limit 22/tcp



    
五、端口开放后的必检清单
    

        

            
检查项
            
命令
            
预期结果
        
        

            
端口监听状态
            
ss -tulnp 或 netstat -tulnp
            
显示监听中的目标端口
        
        

            
外部可达性
            
telnet 服务器IP 端口号
            
连接成功（需安装telnet）
        
        

            
防火墙规则
            
根据使用的工具对应检查命令
            
规则列表中包含目标端口
        
    



    
最佳实践建议：
    

        
生产环境优先使用firewalld/ufw
        
临时测试可用iptables即时规则
        
Always遵循最小权限原则
        
修改前备份现有规则：iptables-save > iptables.bak
    
    
通过本文介绍的3种方法，你应该能够应对绝大多数端口管理需求。记住，安全配置是持续过程，建议定期审计服务器端口开放情况。