开通云服务器端口的本质，是在云平台安全组和实例内系统防火墙两处同时放行目标端口，缺一不可。 很多人只改了安全组，外网还是连不上；也有人只关了系统防火墙，却忘了安全组默认拒绝入方向,下面按实际排障顺序拆开讲清楚。
云服务器端口怎么开通？先分清安全组和系统防火墙
端口不是“物理开关”，而是一条流量规则，外网请求进入云服务器，通常要经过云平台的安全组、部分场景下的网络ACL，再到实例内的系统防火墙，最后才到应用监听端口，任何一层没放行,访问就会失败。
行业共识认为，安全组和系统防火墙是两道独立防线，不能互相替代，安全组工作在云平台虚拟网络层，系统防火墙工作在实例操作系统内部，你在控制台放行端口，不等于实例内部已经允许；你在实例内开放端口,也不等于云平台会放行流量。
安全组和防火墙开放端口有什么区别？
| 对比项 | 云平台安全组 | 系统防火墙 |
|---|---|---|
| 作用层级 | 云平台虚拟网络层 | 实例操作系统内部 |
| 常见默认策略 | 入方向默认拒绝，出方向默认允许 | 因镜像和发行版而异 |
| 配置入口 | 云厂商控制台的安全组页面 | ufw、firewalld、iptables 等 |
| 生效范围 | 绑定实例、弹性网卡等资源 | 仅当前实例内部 |
| 常见误区 | 以为改了安全组就万事大吉 | 以为关了防火墙就能外网访问 |
据主流云厂商公开文档，安全组规则通常按地域和VPC隔离，你在华北或华东地域购买云服务器，安全组规则不会自动同步到其他地域，跨地域迁移实例或复制环境时,规则要重新核对。
云服务器安全组端口开放教程：从控制台到命令行验证
控制台路径不同厂商略有差异，但逻辑一致：找到实例绑定的安全组，进入入方向规则，添加允许规则,再保存生效。
控制台操作路径
- 简米云ECS：控制台进入实例详情，找到“安全组”，选择“配置规则”，在入方向点击“手动添加”。
- 酷番云CVM：控制台进入实例，选择“安全组”，点击“添加规则”,方向选入方向。
- 华为云ECS：控制台进入实例，选择“安全组”,在入方向规则页签添加规则。
规则怎么填才不容易错
以开放HTTP的80端口为例,关键字段这样填：
- 规则方向：入方向。
- 协议类型：TCP。
- 端口范围：80/80，或按需写80,443。
- 源地址：只给业务需要访问的IP段，不要习惯性填0.0.0/0。
- 优先级：按云厂商规则设置,通常数值越小优先级越高。
- 描述：写清用途，Web入口-仅办公网”。
0.0.0/0表示允许所有IPv4来源访问。22、3389、3306、6379等高危端口如果对全网开放，风险会明显上升，近年来，相当一部分云上入侵事件与暴露高危端口有关,能限定源IP就不要图省事。
系统防火墙要同步放行
Ubuntu常用ufw：
sudo ufw allow 80/tcp sudo ufw reload sudo ufw status
CentOS常用firewalld：
sudo firewall-cmd --zone=public --add-port=80/tcp --permanent sudo firewall-cmd --reload sudo firewall-cmd --list-ports
部分镜像使用iptables：
sudo iptables -A INPUT -p tcp --dport 80 -j ACCEPT
修改后要保存规则，否则重启可能失效，具体保存命令看发行版,别直接照搬。
验证端口是否真的通了
先在服务器内部看应用有没有监听：
ss -lntp | grep :80
如果监听地址是0.0.1:80，外网通常访问不到，需要应用监听0.0.0:80或具体网卡地址,再从本地测试：
telnet 公网IP 80 nc -zv 公网IP 80 curl -I http://公网IP
telnet不通不代表端口一定没开，也可能是运营商或本地网络限制，结合ss、安全组和系统防火墙一起看,才能定位。
云服务器端口开通要收费吗？先看计费项
云服务器端口开通要收费吗？
端口规则本身通常不收费，你在安全组里添加一条入方向规则，一般不会产生单独费用，真正可能计费的是公网IP、带宽、流量、负载均衡监听和NAT网关等资源。
- 按固定带宽计费：看带宽峰值。
- 按使用流量计费：看公网出流量。
- 负载均衡：看实例规格、监听和流量处理。
- NAT网关：看规格和流量。
如果只是内网端口互通，通常不涉及公网费用，需要对外提供服务时，先确认公网IP和带宽的计费方式,再决定端口开放范围。
不同地域的云服务器端口规则会同步吗？
不会自动同步，安全组通常绑定在特定地域和VPC内，华北地域的规则不会自动复制到华东地域，复制安全组或迁移实例时，要检查规则是否完整，跨地域访问还要看网络连通性，例如对等连接、云企业网或公网链路是否已经打通。
开放端口后外网还是不通？按这四层排查
- 安全组层：入方向有没有放行目标端口，源IP是否包含你的出口IP,规则是否绑定到正确实例。
- 系统防火墙层：
ufw、firewalld、iptables是否放行,规则是否持久化。 - 应用监听层：应用是否启动，是否监听0.0.0,端口是否被其他进程占用。
- 网络链路层：公网IP是否绑定，带宽是否欠费，是否有网络ACL、负载均衡或运营商限制。
业内专家指出，端口开放应遵循最小权限原则，能限定源IP就不要对全网开放，能改端口就不要长期暴露默认管理端口，据工信部公开的网络安全防护指引，关闭非必要端口、限制访问来源是云主机安全基线中的常见要求。
端口开通完成后，建议保留规则描述和变更记录，多人协作环境里，一条“临时全开”的规则很容易被遗忘,最后变成长期风险。
端口能不能通，不取决于某一个开关，而取决于安全组、系统防火墙、应用监听和网络链路是否同时放行。 先把两层模型分清，再按控制台、系统防火墙、验证命令的顺序操作，绝大多数“端口开了却访问不了”的问题都能定位。
云服务器端口开通Q&A
云服务器端口开通后本地telnet不通，但服务器内curl localhost通，是什么原因？
服务器内curl localhost通，说明应用至少在本机回路可用，重点查三处：应用是否只监听0.0.1；安全组入方向是否放行公网来源；系统防火墙是否拦截，还要确认你测试的是公网IP,不是内网IP。
云服务器端口开通要收费吗？为什么账单里多了费用？
端口规则通常不单独收费，账单增加一般来自公网IP、带宽、流量、负载均衡或NAT网关，先看计费项名称，再判断是否与端口开放有关,内网端口互通一般不走公网计费。
安全组开放了端口，系统防火墙还要配吗？
要配，安全组和系统防火墙是两道独立防线，多数情况下，安全组放行只解决云平台层，实例内部是否允许仍由系统防火墙决定，部分镜像默认关闭系统防火墙，但不应默认假设所有镜像都一样，端口连通性最终由安全组、系统防火墙、应用监听和网络链路共同决定。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/774695.html
