你刚接手服务器管理时，有没有被满屏的端口号吓到过？明明只是想跑个网站，为什么系统要开放这么多端口？前几天老王就被黑客通过一个闲置的SSH端口入侵了数据库，整个项目停摆三天。今天咱们就掰开揉碎了讲讲，怎么像关水龙头一样关掉服务器上那些危险的端口。
先搞明白为什么要关端口 服务器就像一栋大楼，每个端口对应一扇门。比如80端口是正门（网站入口），22端口是员工通道（SSH连接）。问题在于很多服务会默认开启多余的门——就像你家卧室突然多开了一扇窗，小偷翻进来你都不知道。去年全球31%的服务器入侵事件，都是通过闲置端口发起的。
查看当前开放端口的三种姿势 打开终端输入netstat -tuln，你会看到像菜单一样排列的端口列表。这里注意看”LISTEN”状态的就是正在监听的端口。如果觉得命令行太枯燥，可以装个nmap工具，输入nmap localhost就能图形化显示所有开放端口。第三种方法是直接登录云服务器后台，阿里云、腾讯云的控制台都有安全组配置界面，能直观看到哪些端口对外暴露。
实战关闭端口四步法 假设你要关闭3306这个MySQL默认端口。第一步用systemctl stop mysql停掉服务，但这样治标不治本——服务重启后端口又会开放。第二步修改配置文件，找到MySQL的my.cnf文件，把port = 3306改成port = 随机五位数，这招叫移形换位。第三步祭出防火墙大杀器，用firewall-cmd –permanent –remove-port=3306/tcp永久删除规则。第四步别忘了firewall-cmd –reload让新规则生效。
常见问题自问自答
Q：关错端口导致服务瘫痪怎么办？
A：先别慌，立即用firewall-cmd –runtime-to-permanent回滚配置。养成改配置前备份的好习惯，建议用cp /etc/firewalld/zones/public.xml ~/backup/这类命令存档。
Q：明明关了端口为什么还能扫描到？
A：八成是云平台安全组没同步设置。遇到过这种情况：本地防火墙显示已关闭，但阿里云控制台的安全组规则还在放行，相当于你锁了家门却忘了关小区大门。现在掏出你的服务器试试看，先用telnet 你的服务器IP 端口号测试下是否真的关闭成功。要是返回”Connection refused”就说明搞定了。记住定期用nmap -p 1-65535 你的IP做全端口扫描，别给黑客留后门。网络安全的本质就是不断和漏洞赛跑，今天关掉的每个多余端口，都是在给明天的自己减少一个潜在雷区。
本站文章由SEO技术博客撰稿人原创，作者:阿君创作，如若转载请注明原文及出处：https://www.ainiseo.com/hosting/30677.html
