首页代码编程正文

CentOS防火墙端口放行方法及优化策略详解

代码编程 2025-05-31 991

CentOS防火墙端口放行是优化网络策略的关键步骤，通过合理配置，可确保必要服务顺畅运行，同时提升系统安全性，掌握放行技巧，实现安全与效率的平衡，为服务器稳定运行保驾护航。

CentOS防火墙放行端口实操指南：从入门到精通的保姆级教程

最近帮朋友搞服务器的时候,被CentOS防火墙折腾得够呛，明明服务已经配置好了，但外部就是访问不了，排查半天才发现是防火墙把端口给拦了，相信不少刚接触Linux服务器的朋友都有过类似经历，今天就用大白话跟大家唠唠CentOS防火墙放行端口的那些事儿，保证让你看完就能上手操作。

CentOS防火墙的前世今生

先说说CentOS自带的防火墙工具——firewalld，这玩意儿跟老版本的iptables比起来，管理界面更友好，支持动态更新规则，特别适合需要频繁调整防火墙策略的场景，不过对于新手来说，它的配置方式确实有点绕，特别是涉及到服务、区域、端口这些概念的时候，很容易让人摸不着头脑。

记得我刚接触的时候,光是搞清楚public、home、dmz这些区域的区别就花了半天时间，public区域默认拒绝所有外部访问，home区域允许内部网络访问，dmz（隔离区）则用于放置需要对外提供服务的服务器，我们今天要操作的就是在public区域放行特定端口。

实战前准备：确认防火墙状态

在操作之前,得先确认防火墙到底开没开，有次我傻乎乎地改了半天配置，结果发现防火墙压根没启动，白忙活一场，用下面这个命令就能查：

sudo systemctl status firewalld

如果显示active（running），说明防火墙正在运行，要是显示inactive（dead），那就得先启动它：

sudo systemctl start firewalld

为了保险起见,建议设置成开机自启：

sudo systemctl enable firewalld

放行端口的三种姿势

临时放行：适合快速测试

有时候只是想临时测试某个服务,不想永久开放端口，这时候可以用--add-port参数，比如要放行8080端口：

sudo firewall-cmd --add-port=8080/tcp --zone=public

注意这里的/tcp指定了协议类型，如果是UDP端口就改成/udp，这种方式的优点是操作简单，缺点是重启防火墙后规则就会丢失，有次我临时放行了个端口测试，结果服务器重启后服务又访问不了了，后来才发现是规则没保存。

永久放行：生产环境必备

正式环境肯定得用永久规则,操作其实跟临时放行差不多，只是要多加个--permanent参数：

sudo firewall-cmd --add-port=8080/tcp --zone=public --permanent

改完别忘了重新加载防火墙配置：

sudo firewall-cmd --reload

这里有个坑要注意,如果先添加了永久规则但没重载，当前会话是看不到新规则的，我就有过这样的经历，改完规则后测试还是不通，后来才发现忘记重载了。

批量放行：多端口场景神器

当需要放行多个端口时,一个个敲命令太麻烦了，这时候可以写个脚本，或者直接用for循环，比如要放行80、443、8080这三个端口：

for port in 80 443 8080; do
    sudo firewall-cmd --add-port=${port}/tcp --zone=public --permanent
done
sudo firewall-cmd --reload

进阶操作：查看和管理规则

查看当前规则

有时候需要确认某个端口是否真的放行了,用下面这个命令就能查：

sudo firewall-cmd --list-ports --zone=public

输出会显示所有已放行的端口,比如80/tcp 443/tcp 8080/tcp，有次我排查问题的时候，用这个命令发现某个端口根本没放行，才意识到之前操作漏掉了。

删除已放行端口

如果某个端口不需要了,记得及时删除规则，操作跟添加规则类似，只是把--add-port换成--remove-port：

sudo firewall-cmd --remove-port=8080/tcp --zone=public --permanent
sudo firewall-cmd --reload

开放特定IP访问

有时候我们只想允许特定IP访问某个端口,这时候可以用rich rules，比如只允许192.168.1.100访问8080端口：

sudo firewall-cmd --add-rich-rule='rule family="ipv4" source address="192.168.1.100" port protocol="tcp" port="8080" accept' --zone=public --permanent
sudo firewall-cmd --reload

常见问题排查

规则生效但服务还是访问不了

这种情况多半是SELinux在捣乱,可以用下面命令临时关闭SELinux试试：

sudo setenforce 0

如果这时候能访问了,说明确实是SELinux的问题，建议检查SELinux日志（通常在/var/log/audit/audit.log）来定位具体问题，而不是直接永久关闭SELinux。

防火墙规则不生效

有次我遇到个奇怪的问题,明明规则添加成功了，但还是访问不了，后来排查发现是Docker绕过了系统防火墙，如果使用了Docker，记得检查容器网络配置，必要时要在Docker层面也做端口映射。

端口被其他服务占用

有时候端口放行了还是访问不了,可能是端口被其他服务占用了，用netstat或ss命令可以检查端口占用情况：

sudo ss -tuln | grep 8080

实战案例：搭建Nginx服务

最近帮朋友搭了个Nginx反向代理服务器,完整流程是这样的：

安装Nginx：
```
sudo yum install nginx -y
```

启动Nginx：

sudo systemctl start nginx
sudo systemctl enable nginx

放行80和443端口：

sudo firewall-cmd --add-port=80/tcp --zone=public --permanent
sudo firewall-cmd --add-port=443/tcp --zone=public --permanent
sudo firewall-cmd --reload