Linux怎么使用firewalld管理端口开放

答案是通过firewalld的区域概念配置端口开放与网络规则。首先确认firewalld运行并启用，使用--add-port或--add-service在指定区域（如public）开放端口或服务，配合--permanent实现永久生效，并执行--reload应用配置；若访问仍失败，需排查未重载配置、区域分配错误、应用未监听、SELinux限制及外部防火墙等因素；firewalld的区域按信任级别划分，应遵循最小权限原则选择合适区域；此外，firewalld还支持端口转发、富规则、IP伪装和IP集等高级功能，实现精细化流量控制。

在Linux系统上，利用

firewalld

解决方案

我个人在使用Linux服务器时，

firewalld

iptables

首先，你得确认

firewalld

sudo systemctl status firewalld

如果它没跑起来，就启动它并设置开机自启：

sudo systemctl start firewalld
sudo systemctl enable firewalld

firewalld

public

sudo firewall-cmd --get-active-zones
sudo firewall-cmd --list-all --zone=public # 查看public区域的详细配置

假设你想开放一个TCP端口，比如8080，用于你的Web应用。我通常会先在运行时（runtime）添加，测试没问题后再使其永久生效。

sudo firewall-cmd --zone=public --add-port=8080/tcp

这个命令只是临时生效的，系统重启后就会失效。如果你觉得这个端口确实需要一直开放，那就得加上

--permanent

sudo firewall-cmd --zone=public --add-port=8080/tcp --permanent

请记住，带有

--permanent

firewalld

sudo firewall-cmd --reload

如果想开放一个预定义的服务，比如HTTP（端口80）或HTTPS（端口443），

firewalld

sudo firewall-cmd --zone=public --add-service=http --permanent
sudo firewall-cmd --zone=public --add-service=https --permanent
sudo firewall-cmd --reload

要确认端口或服务是否已经开放，可以再次查看区域的配置：

sudo firewall-cmd --list-all --zone=public

如果某个端口或服务不再需要开放，移除它的方式也很简单，把

--add-port

--add-service

--remove-port

--remove-service

--permanent

--reload

sudo firewall-cmd --zone=public --remove-port=8080/tcp --permanent
sudo firewall-cmd --zone=public --remove-service=http --permanent
sudo firewall-cmd --reload

为什么我的端口开了，但还是访问不了？

这真是个让人头疼的问题，我遇到过不止一次。你明明按照教程把端口开了，

firewall-cmd --list-all

首先，最常见的错误就是忘记

firewall-cmd --reload

--permanent

其次，区域（Zone）选择不当。你的服务器可能配置了多个网络接口，或者你的接口被分配到了一个你意想不到的区域。比如，你把端口开在了

public

internal

sudo firewall-cmd --get-active-zones

再者，应用程序本身的问题。防火墙只是网络的第一道关卡，它允许流量进来，但不保证你的应用一定在监听那个端口。你得确保你的服务（比如Nginx、Apache、Node.js应用）确实启动了，并且正在监听你开放的那个端口。我通常会用

sudo netstat -tulnp | grep 8080

sudo ss -tulnp | grep 8080

127.0.0.1

0.0.0.0

还有，SELinux。尤其是在RHEL/CentOS系列系统上，SELinux是个强大的安全机制，它可能会阻止某些服务在非标准端口上运行，即使

firewalld

sudo setsebool -P httpd_can_network_connect_db on

最后，别忘了上游网络设备或云服务商的防火墙。如果你在云服务器上，比如AWS的Security Groups、阿里云的安全组，或者你的网络前面还有硬件防火墙，这些都会在你的Linux服务器防火墙之前拦截流量。这些外部防火墙的规则也需要相应地配置。

智谱AI开放平台

智谱AI大模型开放平台-新一代国产自主通用AI开放平台

38

查看详情

firewalld的“区域（Zone）”到底是什么，我该怎么选？

firewalld

iptables

一个区域（Zone）实际上是一组预定义的规则集合，它决定了哪些流量可以进入或离开与该区域关联的网络接口。每个网络接口（比如

eth0

enp0s3

firewalld

• drop

  登录后复制
  : 最严格的区域。所有进入的包都会被直接丢弃，不回应，就像你对陌生人直接关门，连个“不”字都不说。只有出去的包才被允许。

• block

  登录后复制
  : 比

  drop

  登录后复制
  稍微“礼貌”一点。所有进入的包都会被拒绝，并发送ICMP

  host-prohibited

  登录后复制
  或

  port-unreachable

  登录后复制
  回应。

• public

  登录后复制
  : 默认区域，通常用于公共网络，比如连接到互联网的服务器。它只允许你明确开放的服务和端口。这是我最常用于外部服务的区域。

• external

  登录后复制
  : 用于配置路由器的外部接口。它会进行IP伪装（NAT），允许内部网络访问外部，但外部无法直接访问内部。

• internal

  登录后复制
  : 用于内部网络。它信任内部的计算机，允许它们访问外部，并且内部计算机之间可以互相访问。

• home

  登录后复制
  : 用于家庭网络。比

  internal

  登录后复制
  更宽松，信任所有家庭成员的设备。

• work

  登录后复制
  : 用于工作环境。信任工作中的计算机。

• trusted

  登录后复制
  : 最不安全的区域。信任所有网络连接，允许所有流量。我几乎不会在生产环境中使用这个区域，除非我完全清楚自己在做什么。

那么，该怎么选择呢？这真的取决于你的网络环境和安全需求。

• 对于对外提供服务的服务器，比如Web服务器、数据库服务器，我几乎总是把它们的主要网络接口放在

  public

  登录后复制
  区域。这样，只有我明确允许的HTTP、HTTPS、SSH等服务才能被外部访问，其他所有端口都是默认关闭的。这提供了一个很好的安全基线。
• 如果你有一个内部网络，并且想让内部机器互相通信，同时还能访问外部，那么

  internal

  登录后复制
  或

  home

  登录后复制
  区域可能更合适。你可以把内部接口分配给这些区域。
• 如果你想暂时完全隔离一台机器，比如进行安全测试，可以考虑将接口分配给

  drop

  登录后复制
  或

  block

  登录后复制
  区域。

你可以用

sudo firewall-cmd --get-active-zones

eth0

public

internal

sudo firewall-cmd --zone=internal --change-interface=eth0 --permanent
sudo firewall-cmd --reload

选择区域的原则是：最小权限原则。只开放你需要的，只信任你确信的。对于大部分服务器，

public

除了端口，firewalld还能管理哪些网络规则？

firewalld

一个我经常用到的高级功能是端口转发（Port Forwarding）。有时候，你可能想让外部访问你服务器的80端口，但你的应用实际上运行在8080端口上。这时，你就可以设置一个转发规则：

sudo firewall-cmd --zone=public --add-forward-port=port=80:proto=tcp:toport=8080 --permanent
sudo firewall-cmd --reload

这个命令告诉

firewalld

public

另一个强大的特性是富规则（Rich Rules）。富规则提供了比直接添加端口或服务更细粒度的控制，你可以根据源IP地址、目标IP地址、协议、端口、甚至时间等条件来定义复杂的规则。比如，我只想允许特定IP地址访问我的SSH服务：

sudo firewall-cmd --zone=public --add-rich-rule='rule family="ipv4" source address="192.168.1.100" port port="22" protocol="tcp" accept' --permanent
sudo firewall-cmd --reload

这条规则就意味着，只有来自

192.168.1.100

firewalld

sudo firewall-cmd --zone=external --add-masquerade --permanent
sudo firewall-cmd --reload

此外，你还可以使用

firewalld

对于那些对

iptables

nftables

firewalld

iptables

nftables

firewalld

firewalld

总的来说，

firewalld

以上就是Linux怎么使用firewalld管理端口开放的详细内容，更多请关注php中文网其它相关文章！