服务器如何打开指定端口才能正常访问？

在数字世界的宏伟建筑中,服务器扮演着至关重要的角色，它们是存储数据、运行应用、提供服务的核心，而要让这些服务能够被外界准确找到和访问，就离不开一个精巧的寻址系统——端口，如果服务器的IP地址是一座大楼的门牌号，那么端口就是大楼内每个房间的具体编号，没有端口编号，即使找到了大楼，也不知道该去哪个房间办理业务，理解并管理服务器端口，是每一位系统管理员和开发者的必备技能。

理解服务器端口：概念与分类

端口并非物理实体,而是一种逻辑上的标识，用于区分一台服务器上同时运行的多种网络服务，当数据包到达服务器的IP地址时，操作系统会根据数据包中包含的目标端口号，将其分发给对应的程序或服务处理，这种机制使得一台服务器可以同时作为网站服务器（HTTP）、邮件服务器（SMTP）、文件传输服务器（FTP）等，而不会相互干扰。

为了标准化管理,互联网号码分配局（IANA）将端口划分为三个主要范围：

常见的服务器端口及其用途

了解一些常见端口及其关联的服务,有助于我们更好地进行服务器配置和故障排查。

• 20/21 (FTP): 文件传输协议（FTP）用于在客户端和服务器之间传输文件，20端口用于数据传输，21端口用于控制命令。
• 22 (SSH): 安全外壳协议（SSH）提供加密的网络登录和命令行访问，是远程管理Linux服务器的首选方式。
• 23 (Telnet): 远程登录协议，但数据以明文传输，极不安全，现已基本被SSH取代。
• 25 (SMTP): 简单邮件传输协议，用于发送电子邮件。
• 53 (DNS): 域名系统（DNS）用于将域名解析为IP地址。
• 80 (HTTP): 超文本传输协议，是万维网数据通信的基础，所有网站都通过它提供服务。
• 110/995 (POP3): 邮局协议版本3，用于接收邮件，995是其安全版本（POP3S）。
• 143/993 (IMAP): 互联网消息访问协议，同样用于接收邮件，功能比POP3更强大，993是其安全版本（IMAPS）。
• 443 (HTTPS): HTTP的安全版本，通过SSL/TLS加密数据，保障网站数据传输安全。
• 3306 (MySQL): MySQL数据库服务的默认端口。
• 3389 (RDP): 微软远程桌面协议，用于远程管理Windows服务器。

如何在服务器上管理端口

管理服务器端口主要涉及两个层面：防火墙配置和应用程序配置。

使用防火墙管理端口

防火墙是服务器的第一道防线,它根据预设的规则允许或拒绝进出服务器的流量，管理端口，本质上就是配置防火墙规则。

以常见的Linux防火墙工具firewalld为例，开放一个TCP端口（例如8080）的命令如下：

# 开放8080端口，并设置为永久生效（重启后不丢失）
firewall-cmd --zone=public --add-port=8080/tcp --permanent
# 重新加载防火墙配置，使新规则生效
firewall-cmd --reload

对于使用ufw（Uncomplicated Firewall）的Ubuntu系统，命令则更为简洁：

# 允许8080端口的TCP流量
ufw allow 8080/tcp

在Windows服务器上,则可以通过“高级安全Windows防火墙”图形界面来添加入站或出站规则，指定端口号和协议（TCP/UDP）。

应用程序监听端口

仅仅在防火墙层面开放端口是不够的,还必须确保相应的应用程序正在该端口上“监听”，准备接收连接，这通常在应用程序的配置文件中设置，在Nginx Web服务器的配置文件（nginx.conf）中，你会找到类似这样的指令：

server {
    listen 80;
    ...
}

这里的listen 80;就明确告诉Nginx程序去监听80端口，如果你希望网站通过8080端口访问，就需要将其修改为listen 8080;，然后重启Nginx服务。

如何检查端口状态

当服务无法访问时,检查端口状态是关键的排查步骤。

• 使用netstat或ss命令（Linux）：
  这两个命令可以列出当前系统所有正在监听的端口。ss是netstat的现代替代品，速度更快。

  # -t表示TCP，-u表示UDP，-l表示监听状态，-n表示以数字形式显示端口
  ss -tuln

  输出结果会显示协议、本地地址（包括端口）和程序名称，如果看到0.0.0:8080，则表示8080端口已在所有网络接口上监听。

• 使用nmap工具：
  nmap是一个强大的网络扫描工具，可以从外部探测服务器上哪些端口是开放的。

  

  # 扫描指定服务器的80和443端口
  nmap -p 80,443 your_server_ip

  如果端口状态显示为open，则说明该端口从外部是可以访问的，如果显示为closed或filtered，则可能被防火墙阻止或没有程序在监听。

相关问答FAQs

问题1：为什么我明明在防火墙中开放了端口，但服务还是无法从外部访问？

解答： 这是一个常见问题，通常由以下几个原因造成：

1. 应用程序未监听：防火墙只是“门卫”，你需要确保“房间里有人”，请检查你的应用程序（如Nginx, Apache, MySQL）是否已正确配置并启动，并且确实在监听你开放的端口，可以使用ss -tuln或netstat -tuln在服务器内部确认。
2. 云平台安全组：如果你的服务器部署在云服务商（如阿里云、腾讯云、AWS）上，除了服务器自身的防火墙，还有一个网络层面的“安全组”规则，你必须在云平台的控制台中也为该实例配置相应的入站规则，放行流量。
3. ISP或上游防火墙限制：在某些情况下，你的互联网服务提供商（ISP）或数据中心可能会封锁某些常见的非标准端口，可以联系服务商确认。
4. 端口冲突：检查是否有其他程序已经占用了该端口。

问题2：我应该为我的自定义应用选择哪个端口号？可以使用80端口吗？

解答： 为自定义应用选择端口时，应遵循以下原则：

1. 避免知名端口：强烈建议不要使用0-1023范围内的知名端口，除非你的应用就是该端口对应的标准服务（如HTTP），使用这些端口需要管理员权限，且容易与系统核心服务冲突。
2. 优先选择注册端口范围：1024-49151是理想的选择，你可以在这个范围内选择一个未被占用的端口，如果你的应用是一个内部API，可以选择8080, 8888, 9000等。
3. 查阅注册列表：虽然不是强制的，但最好查阅IANA的端口注册列表，避免选择一个已经被其他知名软件注册的端口，以减少潜在的冲突。
4. 关于80端口：除非你的应用是一个Web服务器，否则不要使用80端口，将非Web应用绑定在80端口会误导用户和管理员，并可能违反服务提供商的使用条款，如果确实需要通过标准HTTP（80端口）访问你的自定义应用，正确的做法是使用一个反向代理（如Nginx）来监听80端口，然后将请求转发给你的应用实际监听的端口（如8080）。