Linux开启防火墙端口关键取决于firewalld或iptables：firewalld需--permanent加--reload两步生效，iptables需添加规则后service iptables save；二者不可混用，且均须同步配置云平台安全组、应用监听地址及SELinux策略。
Linux系统开启防火墙端口，关键取决于你用的是 firewalld 还是 iptables ——两者命令、持久化逻辑、默认行为完全不同，混用或只执行一半操作（比如加了规则但没 reload）会导致端口“看似开了实则不通”。
确认当前使用的是 firewalld 还是 iptables
多数 CentOS 7+/RHEL 8+、Fedora 默认用 firewalld；CentOS 6 或手动禁用 firewalld 后可能 fallback 到 iptables。不确认就操作，极大概率白忙活。
- 查
firewalld状态：sudo firewall-cmd --state（返回running表示启用） - 查
iptables服务状态：sudo service iptables status或sudo systemctl status iptables - 如果两个都 running，优先以
firewall-cmd为准 ——firewalld会接管并屏蔽iptables直接规则 - Ubuntu/Debian 默认不装
firewalld，常用ufw；若未安装且无iptables规则，则防火墙实际处于关闭状态
firewalld 开放 TCP 端口（如 80、3000、8080）
必须分两步：添加规则 + 重载配置。只做第一步，重启后失效；不做第二步，规则根本不生效。
- 临时开放（重启或 reload 后消失）：
sudo firewall-cmd --zone=public --add-port=3000/tcp - 永久开放（写入配置文件，重启也有效）：
sudo firewall-cmd --zone=public --add-port=3000/tcp --permanent - 立即生效（必做！否则端口依然被拦）：
sudo firewall-cmd --reload - 验证是否成功：
sudo firewall-cmd --zone=public --list-ports（应看到3000/tcp） - 注意：
--zone=public是默认区域，如果你改过默认 zone 或绑定了接口，需用firewall-cmd --get-zone-of-interface=eth0确认实际生效 zone
iptables 开放端口（CentOS 6 或禁用 firewalld 的场景）
iptables 规则不自动保存，service iptables restart 会清空未保存的临时规则 —— 这是最常踩的坑。
- 添加允许规则（仅内存生效）：
sudo iptables -A INPUT -p tcp --dport 8080 -j ACCEPT - 插入到更靠前位置（避免被 DROP 规则拦截）：
sudo iptables -I INPUT 5 -p tcp --dport 8080 -j ACCEPT - 保存规则到配置文件（CentOS/RHEL）：
sudo service iptables save（写入/etc/sysconfig/iptables） - Debian/Ubuntu 需用
iptables-persistent：sudo netfilter-persistent save - 检查是否生效：
sudo iptables -L INPUT -n | grep :8080（-n避免反向 DNS 拖慢输出）
开放端口后仍无法访问？重点排查这三点
端口“开了”不等于“能通”，网络链路中至少有三层关卡：云平台安全组 → 系统防火墙 → 应用监听绑定。缺一不可。
- 云服务商（阿里云/腾讯云/轻量服务器）控制台的“安全组”或“防火墙模板”必须同步放行对应端口和协议，这个优先级高于系统防火墙
- 应用本身是否监听在
0.0.0.0:端口而非127.0.0.1:端口？用sudo ss -tunlp | grep :端口或sudo netstat -tunlp | grep :端口确认 - SELinux 可能拦截（尤其 CentOS/RHEL）：
sudo setsebool -P httpd_can_network_bind 1（针对 Web 服务），或临时设为 permissive 模式快速验证：sudo setenforce 0
最易被忽略的是：修改防火墙规则后忘记 reload（firewalld）或 save（iptables），以及云平台侧的安全组完全独立于系统防火墙 —— 很多人调了半天 firewall-cmd，却忘了去控制台点一下“添加规则”。
