服務器環(huán)境:CentOs8

客戶端環(huán)境：Win10 / putty / Edge

首先我們修改http的監(jiān)聽端口，修改 /etc/httpd/conf/httpd.conf 中的 Listen為89

這個時候我們訪問網(wǎng)頁就需要使用IP:89來實現(xiàn)（實際上原本訪問時使用IP只是缺省了80），直接用IP訪問是訪問不到的

然后我們把89端口添加到映射里邊

再使用外網(wǎng)IP訪問，發(fā)現(xiàn)已經(jīng)可以訪問了

注：文中外網(wǎng)IP為脫敏處理用1.23.45.67代替，不代表真實IP

在中華人民共和國境內提供非經(jīng)營性互聯(lián)網(wǎng)信息服務，應當依法履行備案手續(xù)。 未經(jīng)備案，不得在中華人民共和國境內從事非經(jīng)營性互聯(lián)網(wǎng)信息服務

0和443端口是最常見的2個端口，都是提供網(wǎng)絡WEB瀏覽服務所需要的端口，一臺服務器通過不同的端口，提供不同的服務。

80端口

服務：HTTP（HyperText Transport Protocol）超文本傳輸協(xié)議

80端口是為HTTP（HyperText Transport Protocol)即超文本傳輸協(xié)議開放的，此為上網(wǎng)沖浪使用次數(shù)最多的協(xié)議，主要用于WWW（World Wide Web）即萬維網(wǎng)傳輸信息的協(xié)議。

可以通過HTTP地址（即常說的“網(wǎng)址”）加“: 80”來訪問網(wǎng)站，因為瀏覽網(wǎng)頁服務默認的端口號都是80，因此只需輸入網(wǎng)址即可，不用輸入“: 80”了。

操作建議：為了能正常上網(wǎng)沖浪，我們必須開啟80端口。

443端口

服務：Https

443端口即網(wǎng)頁瀏覽端口，主要是用于HTTPS服務，是提供加密和通過安全端口傳輸?shù)牧硪环NHTTP。在一些對安全性要求較高的網(wǎng)站，比如銀行、證券、購物等，都采用HTTPS服務，這樣在這些網(wǎng)站上的交換信息，其他人抓包獲取到的是加密數(shù)據(jù)，保證了交易的安全性。網(wǎng)頁的地址以https://開始，而不是常見的http://。

操作建議：建議開啟該端口，用于安全性網(wǎng)頁的訪問。另外，為了防止黑客的攻擊，應該及時安裝微軟針對SSL漏洞發(fā)布的最新安全補丁。

80端口和443端口的區(qū)別

1、漏洞不同

• 有些木馬程序可以利用80端口來攻擊計算機的，比如Executor、RingZero等。
• HTTPS服務一般是通過SSL（安全套接字層）來保證安全性的，但是SSL漏洞可能會受到黑客的攻擊，比如可以黑掉在線銀行系統(tǒng)，盜取信用卡賬號等。

2、協(xié)議不同

• 80端口為HTTP端口，就是超文本傳輸協(xié)議開發(fā)的。
• 443端口是網(wǎng)頁瀏覽端口，主要用于HTTPS服務。

HTTPS是一個安全通信通道，它基于HTTP開發(fā)，用于在客戶計算機和服務器之間交換信息，他是用安全套接字層（SSL）進行信息交換，接單來說它是HTTP的安全版。

服務器的常用端口除了80、443之外還有很多：

關于更多服務器相關的技術問題，或者端口開放的問題，可以直接上藍隊云官網(wǎng)了解。

藍隊云是專業(yè)的云計算及網(wǎng)絡安全服務商，始終致力于為政府機構、企業(yè)組織和個人開發(fā)者提供穩(wěn)定、安全、可靠、高性價比的云計算服務及專業(yè)全面的網(wǎng)絡安全服務。提供云服務器、虛擬主機、域名注冊、SSL證書、網(wǎng)絡安全服務等產(chǎn)品及服務，平臺用戶超100000+，服務薇諾娜、云南白藥、九機網(wǎng)等知名企業(yè)，歡迎大家免費試用體驗我們的產(chǎn)品，十幾款云服務器支持免費試用。

藍隊云 - 專業(yè)的云服務器、服務器租用托管、云安全服務、域名注冊提供商

深入探討如何在Ubuntu上檢查、開啟、關閉端口之前，理解網(wǎng)絡基礎概念、端口的工作原理以及Ubuntu的網(wǎng)絡架構是至關重要的。

網(wǎng)絡基礎概念

網(wǎng)絡通信的基礎是基于TCP/IP協(xié)議棧的，這一模型由四個層次組成：鏈路層、網(wǎng)絡層、傳輸層和應用層。我們關注的重點在于傳輸層和應用層，因為端口正是位于這兩層之間的關鍵概念。

• 傳輸層：負責端到端的通信，其中兩個主要協(xié)議是TCP（Transmission Control Protocol）和UDP（User Datagram Protocol）。TCP提供了可靠的數(shù)據(jù)傳輸服務，保證數(shù)據(jù)包按序無誤地到達；而UDP則是一種無連接的、不可靠的協(xié)議，適用于對速度要求高于數(shù)據(jù)完整性的場景。
• 應用層：在此層面上，不同的網(wǎng)絡服務通過不同的端口號來區(qū)分。端口是一個邏輯上的結構，范圍從0到65535。每個端口對應一個正在運行的服務或者等待接收特定類型數(shù)據(jù)的應用程序。

端口類型

端口可以大致分為三類：

• 熟知端口（Well-Known Ports）：范圍從0到1023，這些端口被分配給特定的服務，例如HTTP服務使用80端口，HTTPS服務使用443端口。
• 注冊端口（Registered Ports）：范圍從1024到49151，通常用于非系統(tǒng)服務的公共應用程序。
• 動態(tài)/私有端口（Dynamic and/or Private Ports）：范圍從49152到65535，通常不會被預先定義服務所占用，而是臨時分配給客戶端程序使用。

在Ubuntu上檢查開放端口

在Ubuntu系統(tǒng)中，確保服務正常運行或排查網(wǎng)絡問題時，檢查哪些端口處于監(jiān)聽或活躍狀態(tài)是一項基本技能。

使用netstat命令

netstat是一個強大的命令行工具，用于顯示網(wǎng)絡連接、路由表、網(wǎng)絡接口統(tǒng)計等網(wǎng)絡相關信息。在檢查開放端口時，以下是最常用的幾個選項：

• 列出所有TCP連接和監(jiān)聽端口:

sudo netstat -tuln

這里的-t表示只顯示TCP端口，-u用于顯示UDP端口（可選），-l表示僅列出監(jiān)聽狀態(tài)的端口，而-n則使用數(shù)字形式顯示IP和端口號，而不是嘗試解析為主機名和服務名。

• 查看特定端口是否被監(jiān)聽:

sudo netstat -tuln | grep :<port>

將<port>替換為你想要查詢的端口號，如80。

nmap工具

nmap是一個功能強大的網(wǎng)絡探索和安全審計工具，不僅可以用來掃描本地主機，也適用于遠程主機的端口掃描。首先，確保已安裝nmap：

sudo apt-get install nmap

然后，執(zhí)行以下命令掃描本機開放的端口：

sudo nmap -sT -O localhost

這里的-sT選項表示使用TCP連接掃描，-O嘗試確定目標主機的操作系統(tǒng)類型。

lsof命令

lsof(LiSt Open Files)命令可以列出系統(tǒng)中所有當前打開的文件和網(wǎng)絡端口。要查找占用特定端口的進程，可以這樣使用：

sudo lsof -i :<port>

firewall-cmd（對于使用firewalld的情況）

雖然Ubuntu默認不使用firewalld，但如果你的系統(tǒng)中安裝并啟用了它，可以通過以下命令查看開放端口：

sudo firewall-cmd --list-ports

ufw（Uncomplicated Firewall）

UFW是Ubuntu系統(tǒng)中常用的防火墻管理工具，易于使用且功能強大。要查看UFW當前的規(guī)則，可以執(zhí)行：

sudo ufw status verbose

這會列出所有入站和出站規(guī)則，以及哪些端口被允許或拒絕。

在Ubuntu上開啟端口

確保服務對外可用通常需要正確配置系統(tǒng)防火墻，以允許外部流量訪問特定端口。Ubuntu系統(tǒng)中，ufw（Uncomplicated Firewall）是最常用的防火墻管理工具，因為它簡單易用且功能強大。

ufw基本操作

首先，確保ufw已經(jīng)安裝并啟用。如果尚未啟用，可以使用以下命令進行安裝和啟用：

sudo apt-get install ufw
sudo ufw enable

開啟單個端口

要允許外部訪問某個TCP端口，例如開啟80端口供Web服務使用，執(zhí)行：

sudo ufw allow 80/tcp

對于UDP端口，只需將tcp替換為udp即可，如：

sudo ufw allow 53/udp

開啟端口范圍

若需開啟一系列連續(xù)端口，例如游戲服務器使用的端口范圍，可以這樣做：

sudo ufw allow 27000:27015/tcp

指定入站或出站規(guī)則

默認情況下，上述命令應用于入站（incoming）流量。若要明確指定規(guī)則方向，可以加上in或out，例如允許出站到80端口的流量：

sudo ufw allow out 80/tcp

配置特定服務端口

許多網(wǎng)絡服務如Web服務器（Apache、Nginx）或數(shù)據(jù)庫（MySQL、PostgreSQL）都有默認的監(jiān)聽端口。除了在防火墻中開放這些端口，還需確保服務配置正確。

• Apache：默認監(jiān)聽80端口，配置文件通常位于/etc/apache2/sites-available/000-default.conf或特定站點配置文件中。
• Nginx：同樣默認監(jiān)聽80端口，配置文件位于/etc/nginx/sites-available/default或相應站點配置文件。
• MySQL：默認監(jiān)聽3306端口，可以在/etc/mysql/mysql.conf.d/mysqld.cnf中找到監(jiān)聽設置。
• PostgreSQL：默認監(jiān)聽5432端口，配置文件為/etc/postgresql/<version>/main/postgresql.conf。

修改服務配置后，記得重啟服務使更改生效，如重啟Apache服務：

sudo systemctl restart apache2

iptables直接配置

盡管ufw提供了友好的接口，但在某些高級場景下，直接使用iptables命令行工具能提供更細粒度的控制。以下是一個簡單的例子，允許所有入站的80端口TCP流量：

sudo iptables -A INPUT -p tcp --dport 80 -j ACCEPT

請注意，直接修改iptables規(guī)則應當謹慎，且通常建議先備份現(xiàn)有規(guī)則：

sudo iptables-save > /root/iptables.backup

完成規(guī)則修改后，使用iptables-save命令保存規(guī)則，確保重啟后仍然生效：

sudo iptables-save | sudo tee /etc/iptables/rules.v4

在Ubuntu上關閉端口

關閉不必要的端口是提升系統(tǒng)安全的重要措施，可以減少潛在的攻擊面，防止未授權訪問。

使用ufw關閉端口

關閉端口的操作與開啟端口類似，只需將allow命令替換為deny或delete命令。

• 關閉單個端口：

sudo ufw deny 22/tcp

上述命令會拒絕所有入站的TCP 22端口（SSH）流量。如果規(guī)則已存在，可以使用delete命令移除：

sudo ufw delete allow 22/tcp

• 關閉端口范圍：

如果之前打開了一個端口范圍，如游戲端口27000至27015，可以通過以下命令關閉：

sudo ufw deny 27000:27015/tcp

編輯服務配置關閉端口

關閉端口的另一種方法是從源頭上阻止服務監(jiān)聽該端口。這需要直接修改服務的配置文件。

• Apache或Nginx：進入相應的配置文件，注釋或修改監(jiān)聽端口的行，如將Apache的監(jiān)聽端口從80更改為監(jiān)聽localhost（127.0.0.1:80）或完全關閉監(jiān)聽。
• 數(shù)據(jù)庫服務：如MySQL或PostgreSQL，同樣在配置文件中修改或注釋掉監(jiān)聽地址和端口，然后重啟服務。

使用iptables關閉端口

直接使用iptables關閉端口涉及刪除或添加拒絕規(guī)則：

• 拒絕特定端口：

如果之前允許了22端口，可以通過以下命令拒絕：

sudo iptables -A INPUT -p tcp --dport 22 -j DROP

或者，如果要刪除之前的允許規(guī)則，首先需要找出該規(guī)則的編號，然后用iptables -D命令刪除：

sudo iptables -L --line-numbers
sudo iptables -D INPUT <rule_number>

定期審查與優(yōu)化

• 定期檢查：定期檢查防火墻規(guī)則和系統(tǒng)服務配置，確保沒有開放不必要的端口。
• 優(yōu)化規(guī)則：移除不再需要的規(guī)則，保持防火墻規(guī)則集簡潔明了，有助于性能和可維護性。

關閉端口是一個持續(xù)的過程，隨著系統(tǒng)需求的變化，應適時調整。良好的安全實踐還包括使用自動化工具定期審計端口狀態(tài)，以及在變更系統(tǒng)配置后進行安全測試，確保沒有無意間暴露了新的安全風險。