firewall-cmd --list-ports 仅显示显式添加的端口，不包含通过 services（如 http、ssh）间接开放的端口；要全面查看已开放端口，需结合 firewall-cmd --list-all（查服务与端口配置）、ss -tuln（查实际监听状态）及 firewall-cmd --list-forward-ports（查端口转发规则）分层验证。
firewall-cmd --list-ports 是最直接的命令，但它只显示显式添加的端口，不包含通过服务名（如 http、ssh）间接开放的端口。真正要“看清已开放的服务端口”，得结合规则来源和监听状态一起看。
firewall-cmd --list-all 显示完整防火墙配置
这个命令会输出当前 zone（通常是 public）下所有允许的端口、服务、ICMP 类型和富规则。
重点看两行：
• ports: 字段列出的是用 --add-port 手动加的端口，比如 8080/tcp 9000/udp
• services: 字段列出的是启用的服务名，比如 ssh dhcpv6-client http——这些服务背后对应预定义端口（http → 80/tcp），但不会在 ports 行重复出现
如果你只跑 firewall-cmd --list-ports 却没看到 80 端口，但网站能访问，大概率就是 http 服务被启用了，而不是手动开了 80 端口
ss -tuln 查看实际监听的端口
防火墙放行 ≠ 服务真在监听。很多问题出在“端口开了，但没人听”。ss -tuln（推荐）或 netstat -tuln（需先 yum install net-tools）能告诉你哪些端口正被进程绑定并监听：
• t：TCP
• u：UDP
• l：只显示 LISTEN 状态
• n：用数字显示端口，不查 DNS 或服务名
输出中每一行的第四列（如 *:22 或 [::]:80）就是监听地址和端口。如果某端口没出现在这里，开再多次防火墙也没用
firewall-cmd --query-port=xxx/tcp 返回 no 不代表端口没开
这个命令只查是否被显式添加到 ports 列表里，不查 services 是否启用。
常见误判场景：
• 你执行了 firewall-cmd --add-service=http --permanent，然后查 firewall-cmd --query-port=80/tcp → 返回 no，但 80 端口其实已通
• 你改过默认 zone（比如从 public 换成 trusted），但没指定 zone 查，--query-port 默认查当前 active zone，可能不是你预期的那个
正确做法是先确认 zone：firewall-cmd --get-active-zones，再针对性查：firewall-cmd --zone=public --query-port=80/tcp
端口转发或 DNAT 场景下，firewall-cmd --list-forward-ports 更关键
如果你在做端口映射（比如把公网 8443 转到内网 443），--list-ports 和 --list-all 都不会显示目标端口（如 443），只显示外层入口端口（8443）。
必须用：
• firewall-cmd --query-masquerade 确认 IP 伪装已启用（DNAT 前提）
• firewall-cmd --list-forward-ports 查真正的转发规则，输出类似：port=8443:proto=tcp:toport=443:toaddr=192.168.1.100
漏掉 --query-masquerade 这一步，转发规则即使存在也大概率不生效
