永久放行80端口需执行firewall-cmd --zone=public --add-port=80/tcp --permanent并firewall-cmd --reload，否则重启失效；验证用firewall-cmd --list-ports，还需确保firewalld运行、SELinux未拦截、httpd正常监听。
firewall-cmd 怎么永久放行 80 端口
CentOS 7 默认用 firewalld 管理防火墙，不开放端口，即使 httpd 启动成功，外部也访问不了。关键不是“启动服务”，而是“让流量进来”。
-
firewall-cmd --add-port=80/tcp --permanent是必须加--permanent的，否则重启后失效 - 执行完这条命令后，一定要
firewall-cmd --reload，否则规则不生效 - 验证是否成功：运行
firewall-cmd --list-ports，输出里要有80/tcp - 如果
http服务本身已注册（比如通过yum install httpd安装），也可以用firewall-cmd --add-service=http --permanent，效果等价，但更语义化
为什么开了端口还是连不上
常见原因不是命令没输对，而是多个层叠限制同时起作用：
-
getenforce返回Enforcing？SELinux 可能拦截了httpd绑定端口——临时关闭用setenforce 0，永久关闭需改/etc/selinux/config中的SELINUX=disabled -
systemctl status firewalld显示 inactive？那上面所有firewall-cmd命令都无效，得先systemctl start firewalld再enable -
netstat -tlnp | grep :80没输出？说明httpd根本没监听，检查systemctl status httpd是否 active，日志看journalctl -u httpd -n 20 - 虚拟机场景下，宿主机防火墙（如 Windows Defender 防火墙）也可能拦住入站连接，别只查 CentOS 一侧
httpd 启动后怎么确认它真在跑
不能只信 systemctl start httpd 的返回，得看实际监听状态和响应行为：
- 本地测试：在 CentOS 里执行
curl -I http://localhost，返回HTTP/1.1 200 OK才算通 - 端口监听：
ss -tlnp | grep :80比netstat更快，应看到httpd进程绑定在*:80或:::80 - 配置路径：默认网页根目录是
/var/www/html，往里面放个index.html，内容写点文字，避免默认页被删或权限不对导致 403 - 权限注意：
httpd进程用户是apache，确保该用户对/var/www/html有读取权限（ls -ld /var/www/html查 owner/group）
要不要关掉 firewalld
可以关，但不推荐作为长期方案——关了就等于裸奔。
- 临时应急：
systemctl stop firewalld确实能立刻放行所有端口，适合调试阶段快速验证是不是防火墙问题 - 但生产环境必须保留
firewalld，只开必要端口（比如只开80和443），避免暴露22、3306等敏感端口 - 如果坚持关，记得同时
systemctl disable firewalld，否则 reboot 后又自动启动 - 顺带一提：
iptables在 CentOS 7 上已被弃用，别混用iptables规则和firewalld，冲突难排查
--permanent 和 --reload 的组合，以及 SELinux 的静默拦截——这两处卡住，会让人反复怀疑是不是命令输错了。 
