上一篇
广州云主机监听端口号是多少？云服务器端口号怎么查
在配置广州地区的云主机（通常指部署在广州节点的云服务器，如阿里云、西西安全、华为云等）时，监听端口号是网络通信的核心配置，理解端口号的定义、常见用途、安全配置以及防火墙规则,对于保障服务正常运行至关重要。
端口号的基本概念与范围
端口号是一个16位的整数，范围从0到65535，在TCP/IP协议中,它用于标识主机上运行的特定应用程序或服务。
- 0-1023（公认端口）：这些端口通常保留给系统级服务使用，如HTTP（80）、HTTPS（443）、SSH（22）等，除非你有特殊需求且具备高级权限,否则不建议修改这些端口的监听服务。
- 1024-49151（注册端口）：这些端口通常分配给特定应用程序，如MySQL（3306）、Redis（6379）、Tomcat（8080）等。
- 49152-65535（动态/私有端口）：这些端口通常由客户端程序在建立连接时临时使用,一般不用于服务器端长期监听。
常见服务端口对照表
在广州云主机上部署不同服务时，需要确保对应的端口处于监听状态,以下是几种常见服务的默认端口：
| 服务类型 | 默认端口号 | 协议 | 说明 |
|---|---|---|---|
| HTTP | 80 | TCP | 超文本传输协议，用于网页浏览 |
| HTTPS | 443 | TCP | 安全的超文本传输协议，用于加密网页浏览 |
|
SSH | 22 | TCP | 安全外壳协议，用于远程登录管理服务器 |
| FTP | 21 / 20 | TCP | 文件传输协议，21用于控制，20用于数据传输 |
| MySQL | 3306 | TCP | 关系型数据库管理系统 |
| Redis | 6379 | TCP | 高性能键值对数据库 |
| Tomcat | 8080 | TCP | Java Web应用服务器默认端口 |
| MongoDB | 27017 | TCP | NoSQL数据库 |
云主机安全组与防火墙配置
在广州云主机上，仅仅在操作系统内部监听端口是不够的，还必须配置云平台的安全组（Security Group）和操作系统内部的防火墙（如iptables或firewalld）,这是两层独立的访问控制机制。
-
云平台安全组：
- 这是第一道防线,位于云厂商的网络边界。
- 你需要在云控制台中找到对应实例的安全组规则，添加入方向规则,允许特定IP或IP段访问特定端口。
- 若要开放Web服务，需添加规则：协议TCP，端口80/443，授权对象0.0.0.0/0（表示允许所有IP访问）。
-
操作系统防火墙：
- 这是第二道防线,位于服务器操作系统内部。
- CentOS/RHEL：通常使用firewalld或iptables，需执行类似firewall-cmd --permanent --add-port=80/tcp的命令并重新加载防火墙。
- Ubuntu/Debian：通常使用ufw，需执行ufw allow 80/tcp命令。
- 如果安全组已放行但无法访问,请检查操作系统防火墙是否拦截了该端口。
如何检查端口监听状态
在Linux系统中,可以使用以下命令检查端口是否正在监听：
-
使用netstat命令：
netstat -tuln | grep <端口号>检查80端口：netstat -tuln | grep 80
-
使用ss命令（推荐）：
ss -tuln | grep <端口号> -
使用lsof命令：
lsof -i :<端口号>
如果命令返回结果，说明端口正在监听；如果没有返回,则说明服务未启动或配置错误。
常见问题排查
- 端口未开放：确认服务进程是否正在运行，并检查服务配置文件中的监听地址，如果配置为0.0.1，则只允许本地访问，需改为0.0.0以允许外部访问。
- 安全组拦截：确认云控制台的安全组规则是否已正确添加，并检查是否设置了错误的授权对象（如限制了特定IP，而你的访问IP不在其中）。
- 防火墙拦截：确认操作系统防火墙是否放行了该端口,特别是当安全组已放行但依然无法连接时。
相关问题与解答
问题1：为什么我在云控制台的安全组中开放了端口，但依然无法通过浏览器访问Web服务？
解答：这种情况通常由以下原因导致：
- 操作系统防火墙未放行：云主机的安全组只是第一层防护，操作系统内部的防火墙（如firewalld、iptables或ufw）可能仍然阻止了该端口的访问,请检查并配置操作系统防火墙规则。
- 服务未监听所有接口：Web服务器（如Nginx、Apache）可能配置为仅监听0.0.1（localhost），这意味着它只接受来自服务器本地的连接，需要修改配置文件，将监听地址改为0.0.0或服务器的公网IP。
- 服务未启动：确认Web服务进程是否正在运行，可以使用systemctl status nginx或systemctl status apache2等命令检查。
问题2：如何安全地开放SSH端口（22）供远程登录？
解答：出于安全考虑，不建议将SSH端口对所有IP开放（0.0.0.0/0）,推荐采取以下安全措施：
- 限制授权IP：在云控制台的安全组中，将SSH端口（22）的授权对象设置为你自己的固定公网IP地址或IP段，这样,只有你的IP才能访问SSH服务。
- 修改默认端口：将SSH监听端口从默认的22修改为一个非标准端口（如2222），以减少被自动化脚本扫描和攻破的风险,需在安全组和操作系统防火墙中同步修改端口规则。
- 使用密钥登录：禁用密码登录，仅允许SSH密钥对登录,可以有效防止暴力免费攻破。
- 使用跳板机或堡垒机：对于生产环境，建议通过堡垒机进行运维管理,避免直接暴露SSH端口。
