Linux防火墙需按发行版选工具：CentOS/RHEL用firewalld（systemctl status firewalld），Ubuntu/Debian用ufw（systemctl status ufw），两者不可共存；iptables为底层通用方案。firewalld开放端口须加--permanent并--reload生效，ufw删规则需先编号查询再删除；关防火墙不等于端口畅通，还需验证服务监听、云安全组及SELinux策略。
Linux上关防火墙或开特定端口，不是“停服务”就完事——firewalld 或 ufw 停了，服务监听、云安全组、SELinux 还可能拦着你。得按实际环境选对工具，再逐层验证。
怎么确认当前用的是 firewalld 还是 ufw
不同发行版默认防火墙不同，混用命令会失败：
-
sudo systemctl status firewalld—— CentOS/RHEL/Fedora 通常用这个，看到active (running)就说明在跑 -
sudo systemctl status ufw—— Ubuntu/Debian 默认走ufw，状态为active才有效 -
sudo iptables -L -n—— 如果前两个都 inactive，但iptables有规则，说明直接用了底层 iptables（常见于老系统或容器宿主机）
注意：firewalld 和 ufw 同时启用会冲突，别留一个 stop 一个 disable，要彻底停掉不用的那个。
firewalld 下开放或关闭单个端口
firewalld 必须加 --permanent 才持久，且必须 --reload 才生效，临时操作不写 --permanent 但重启即丢：
- 开放 TCP 端口（如 8080）：
sudo firewall-cmd --permanent --add-port=8080/tcp - 开放 UDP 端口（如 53）：
sudo firewall-cmd --permanent --add-port=53/udp - 删掉已开放的端口：
sudo firewall-cmd --permanent --remove-port=8080/tcp - 重载配置（必做！否则规则不生效）：
sudo firewall-cmd --reload - 查当前开放了哪些端口：
sudo firewall-cmd --list-ports
别漏掉协议类型——/tcp 和 /udp 是强制要求，写成 8080 不带协议会报错。
ufw 下快速开关端口
ufw 命令更直白，但默认可能没启用，且删除规则不能只靠端口号：
- 先启用服务（首次运行）：
sudo ufw enable - 开放 TCP 端口：
sudo ufw allow 8080（默认是 tcp），或显式写sudo ufw allow 8080/tcp - 开放 UDP 端口：
sudo ufw allow 53/udp - 删规则：先查编号
sudo ufw status numbered，再删（比如删第 2 条）：sudo ufw delete 2；不能直接ufw deny 8080就当关闭——那只是加一条拒绝规则，原允许还在 - 查看全部规则：
sudo ufw status verbose
ufw 的规则顺序很重要，deny 在 allow 前面会导致放行失效，别手动改 /etc/ufw/user.rules，用命令增删。
关防火墙 ≠ 端口就通，还有三层要过
即使防火墙关了、端口也开了，连接仍可能失败。必须挨个检查：
- 服务真在监听吗？用
sudo ss -tlnp | grep :8080或sudo netstat -tlnp | grep :8080，看不到进程说明服务没启或绑定错了地址（比如只绑127.0.0.1） - 云服务器（阿里云、腾讯云、AWS）必须进控制台配安全组，开放对应端口和 IP 范围，这层比系统防火墙还优先
- RHEL/CentOS 上 SELinux 可能拦截，临时测可用
sudo setenforce 0，长期解决要配策略，不是简单关它 - 本地测试用
telnet 127.0.0.1 8080，远程测用nc -zv your-server-ip 8080，别只信“防火墙开了”就认为通了
最常被忽略的是：firewalld 开了端口但没 --reload，或者 ufw 删规则时没编号误删错条——这两步一漏，所有操作等于白干。
