服务器端口怎么开？从防火墙到安全组一步步操作

给服务器开端口，本质是让外部流量能穿过两层拦截到达监听该端口的程序：第一层是云厂商的安全组，第二层是服务器自身的防火墙。
只改其中一层，端口通常仍然不通。
下面按新手能照做的顺序展开。

先确认程序已经在监听端口

防火墙放行只是“允许通过”，如果程序本身没有监听端口，开了也没用。
登录服务器后先检查：

ss -tlnp | grep 8080

把 8080 换成你要开的端口。
有输出说明程序正在监听，LISTEN 后面的地址如果是 127.0.0.1:8080，表示只允许本机访问，外部连不上，需要把程序配置改成监听 0.0.0.0 或具体公网 IP。
没有输出就先启动对应服务，再继续下一步。

系统防火墙放行端口

Linux 常见防火墙有两种，先确认当前用的是哪个：

systemctl status firewalld
systemctl status ufw

哪个显示 active (running) 就操作哪个。

CentOS / Rocky / AlmaLinux 用 firewalld：

firewall-cmd --permanent --add-port=8080/tcp
firewall-cmd --reload
firewall-cmd --list-ports

--permanent 表示写入永久配置，不加则重启后失效；
改完必须 --reload 才生效。
最后一条命令应能看到 8080/tcp。

Ubuntu / Debian 用 ufw：

ufw allow 8080/tcp
ufw status

输出中应出现 8080/tcp ALLOW Anywhere。
如果你启用了 ufw 却从没放行 SSH 端口，重连前先执行 ufw allow 22/tcp，否则可能把自己关在门外。

使用宝塔面板的情况： 在面板「安全」页面直接添加端口规则即可，它最终调用的也是系统防火墙；
不要在面板和命令行重复添加互相冲突的规则。

云安全组必须单独放行

安全组在云厂商控制台操作，不在服务器系统里。
路径通常是：控制台 → 云服务器实例 → 安全组 → 配置规则 → 入方向 → 添加规则，协议选 TCP，端口填 8080，源地址按需填 0.0.0.0/0（所有 IP）或指定 IP 段。

不要把数据库端口（如 3306、6379）直接对 0.0.0.0/0 开放，应限制为应用服务器内网 IP，或仅通过 SSH 隧道访问。
安全组规则修改后一般立即生效，无需重启服务器。

从外部验证端口是否真的通了

在本机（不是服务器）执行：

telnet 服务器公网IP 8080

Windows 可在 PowerShell 用 Test-NetConnection 服务器公网IP -Port 8080，看到 TcpTestSucceeded : True 即连通。
连接失败时按顺序排查：

• 程序是否监听 0.0.0.0 而非 127.0.0.1
• 防火墙是否 reload 过、规则是否在 --list-ports 或 ufw status 中
• 安全组入方向是否放行，源地址是否写错
• 云厂商是否有额外的网络 ACL 或高防策略
• 端口是否被运营商或公司网络封禁（换手机热点测试）

几个容易踩的坑

• 只开 TCP 或只开 UDP：Web、SSH、数据库默认都是 TCP，除非程序明确用 UDP，否则按 TCP 放行。
• 改完防火墙没 reload：firewalld 的临时规则重启即丢，务必用 --permanent 加 --reload。
• 用 curl localhost 测试通过就以为外网可访问：本机回环不经过防火墙和安组，必须从外部机器验证。
• 端口范围写法错误：firewalld 用 8080-8090/tcp，ufw 用 8080:8090/tcp，分隔符不同。

开端口不是一条命令的事，按“程序监听 → 系统防火墙 → 云安全组 → 外部验证”的顺序走，多数连接问题都能定位到具体某一层。