在Linux系统中关闭接口并非单一操作，而是根据需求选择禁用端口、停用网卡或关闭服务，通常通过iptables防火墙规则、ip命令或systemctl服务管理来实现，其中禁用端口是最常见且安全的做法。
很多刚接触Linux的管理员在面对“如何关闭接口”这个问题时，往往感到困惑，是因为想保护服务器安全，还是因为某个服务占用了资源？“关闭接口”这个说法比较笼统，在Linux的世界里，它可能指代三种完全不同的操作：一是通过防火墙规则屏蔽特定端口，二是彻底停用物理或虚拟网卡，三是停止监听该接口的后台服务，业内专家指出，绝大多数安全加固场景下，我们需要的其实是第一种即通过防火墙策略来“关闭”对外暴露的服务端口，而不是物理上拔掉网线。
理解Linux中“关闭接口”的真实含义
在深入操作之前,我们需要厘清概念，Linux内核网络栈中，接口（Interface）通常指网卡设备（如eth0, ens33），而端口（Port）是运行在接口之上的应用层概念。
端口与接口的区别
网络层与应用层的差异
接口是数据传输的物理或逻辑通道，就像高速公路；端口则是这条路上具体的车道，比如HTTP服务占用80端口，SSH服务占用22端口，关闭接口意味着切断所有交通，而关闭端口只是封闭了特定的车道。
为什么通常选择关闭端口而非接口？
直接关闭网卡接口（如使用`ifdown`或`ip link set down`）会导致该网卡上的所有服务中断，包括可能正在运行的其他关键业务，对于远程管理的服务器来说，如果关闭了管理网卡，你将直接失去连接，造成运维事故。精准关闭特定端口是更安全、更专业的选择。
使用防火墙规则关闭特定端口
这是目前最主流、最推荐的“关闭接口”方式，尤其适用于需要长期保护服务器安全的场景，主流Linux发行版如CentOS、Ubuntu等，通常使用firewalld或ufw作为防火墙管理工具。
CentOS/RHEL系统操作指南
CentOS 7及以上版本默认使用firewalld，假设你想关闭SSH服务的22端口（通常不建议直接关闭管理端口，此处仅为演示），或者关闭Web服务的80端口。
临时关闭端口
你可以使用命令行直接添加拒绝规则，立即生效但重启后失效：
“`bash
sudo firewall-cmd –direct –add-rule ipv4 filter INPUT 0 -p tcp –dport 80 -j REJECT
“`
永久关闭端口
更推荐的方式是使用firewalld的标准服务管理功能，如果你想关闭HTTP服务（80端口）和HTTPS服务（443端口）：
“`bash
sudo firewall-cmd –permanent –remove-service=http
sudo firewall-cmd –permanent –remove-service=https
sudo firewall-cmd –reload
“`
执行`–reload`后，规则立即生效，你可以通过`sudo firewall-cmd –list-all`来验证端口是否已不在允许列表中。
Ubuntu/Debian系统操作指南
Ubuntu系统默认使用UFW（Uncomplicated Firewall），其命令更加简洁直观。
安装与启用UFW
如果尚未安装，可通过`sudo apt install ufw`安装，启用防火墙前，务必确保允许SSH连接，否则可能把自己锁在门外：
“`bash
sudo ufw allow ssh
sudo ufw enable
“`
关闭指定端口
假设你要关闭8080端口，只需一条命令：
“`bash
sudo ufw deny 8080
“`
若要关闭某个服务的所有相关端口，可以使用`sudo ufw deny http`，查看当前规则可使用`sudo ufw status verbose`。
通过Systemctl停止后台服务
我们所谓的“关闭接口”，其实是想停止某个正在监听端口的应用程序，Nginx监听80端口，MySQL监听3306端口，关闭防火墙规则只是“拒之门外”，而停止服务则是“关门歇业”。
识别监听端口的服务
在停止服务前,先确认是谁在占用接口，使用netstat或ss命令：
sudo ss -tlnp | grep :80
输出结果会显示PID（进程ID）和对应的程序名称，如nginx。
停止与禁用服务
临时停止
使用systemctl停止服务，端口将立即释放：
“`bash
sudo systemctl stop nginx
“`
永久禁用
如果确定不再需要该服务，可以禁用其开机自启，防止重启后再次占用接口：
“`bash
sudo systemctl disable nginx
“`
这种方法比防火墙规则更彻底，因为进程本身已不再运行，不会产生任何网络请求处理开销。
物理或虚拟网卡的彻底停用
在极少数情况下,如服务器配置错误、网卡驱动冲突或进行网络隔离测试时，可能需要彻底停用某个网卡接口。
使用ip命令管理网卡状态
ip命令是Linux网络管理的现代标准工具，比传统的ifconfig更强大且通用。
查看网卡状态
“`bash
ip link show
“`
输出中会显示接口的状态，如`UP`（启用）或`DOWN`（停用）。
停用网卡接口
假设要停用名为`ens33`的网卡：
“`bash
sudo ip link set ens33 down
“`
再次执行`ip link show`，你会看到该接口的状态变为`DOWN`，该网卡将不再接收或发送任何数据包，相当于物理拔线。
恢复网卡
如果需要重新启用：
“`bash
sudo ip link set ens33 up
“`
注意事项与风险
远程连接风险
对于通过SSH远程连接的服务器，切勿直接停用管理网卡，除非你有带外管理（如IPMI、iDRAC）或控制台访问权限，否则，一旦执行`ip link set down`，你将立即失去与服务器的连接，且无法通过常规手段恢复，必须联系机房人员或云平台客服进行控制台操作。
网络配置持久化
使用`ip`命令修改的状态在重启后会失效，若需永久停用某网卡，需修改网络配置文件，在CentOS中，编辑`/etc/sysconfig/network-scripts/ifcfg-ens33`，将`ONBOOT=no`；在Ubuntu中，编辑`/etc/netplan/01-netcfg.yaml`，设置`optional: true`或移除配置。
不同场景下的最佳实践对比
为了帮助你做出正确选择,以下是常见场景的操作建议对比：
| 场景需求 | 推荐操作 | 工具/命令 | 安全性 | 持久性 |
|---|---|---|---|---|
| 屏蔽外部对特定服务的访问 | 防火墙规则 | firewall-cmd / ufw |
高 |
需配置永久规则 |
| 彻底停止某应用服务 | 停止服务 | systemctl stop | 极高 | 需配置禁用自启 |
| 临时断开网络连接 | 停用网卡 | ip link set down | 中 | 非持久，重启恢复 |
| 服务器故障排查 | 查看端口占用 | ss -tlnp | 信息获取 | 无 |
如何选择适合你的方案？
多数情况下,如果你是为了安全加固，防火墙规则是首选，因为它灵活且不影响其他服务，如果你发现某个服务占用资源过高或已不再使用，停止服务是最干净利落的做法，只有在网络配置错误或进行隔离测试时，才考虑停用网卡。
常见问题解答
如何查看Linux当前开放了哪些接口和端口？
可以使用`sudo ss -tlnp`命令查看所有监听中的TCP端口及其对应的进程，若需查看UDP端口，可添加`-u`参数，`netstat -tuln`也是常用命令，但在较新系统中可能需安装`net-tools`包。
关闭端口后，如何确认是否生效？
在服务器本地使用`curl http://localhost:端口号`测试，若连接被拒绝或超时，则说明规则生效，从外部网络使用`telnet 服务器IP 端口号`或`nmap -p 端口号 服务器IP`进行扫描，若显示`closed`或`filtered`，则表明外部访问已被阻断。
防火墙规则和服务停止有什么区别？
防火墙规则是在网络层丢弃数据包，服务进程仍在运行，只是不响应外部请求；停止服务则是终止进程，端口完全释放，不占用CPU和内存资源，若需完全消除资源占用，应停止服务；若需保留服务但限制访问，应使用防火墙。
首发原创文章，作者：世雄 - 原生数据库架构专家，如若转载，请注明出处：https://idctop.com/article/474607.html
