一个服务器两个IP如何开放端口？,服务器双IP端口怎么配置

一个服务器两个IP开端口，核心就两件事：让服务监听在对应的IP地址上，再让防火墙或云安全组放行这个IP的入站流量。这两步都做对了，端口自然就通了，现实中不少朋友只改了防火墙规则，服务却死死绑在另一个IP上，结果端口始终打不开，下面从原理到操作，一步步拆开讲。

一个服务器两个IP怎么开端口：先理清两个核心动作

很多人拿到双IP服务器后,第一反应是去改防火墙，但真正决定端口能不能被外部访问的，是服务监听地址和防火墙放行规则的配合，服务如果默认只监听在某个固定IP上，那另一个IP上的端口请求根本到不了服务进程，反之，防火墙没放行，监听得再好也会被拦在外面。

加载中

为什么在服务器上分配多个ip？（一台服务器绑定多个ip）

搬服务器的女民工

622431-

原视频地址

具体到操作上,可以拆成三个步骤：

• 确认两个IP都正确绑定在网卡上,并且都在运行状态
• 修改服务的监听配置,让服务接受指定IP或所有IP的请求
• 在系统防火墙和云安全组两个层面同时放行对应端口

第一步：确认IP绑定状态

在Linux服务器上,用ip addr show命令查看IP绑定情况，正常情况下，两个IP会分别显示在inet那一行，如果发现只有一个IP，需要手动把另一个IP加上，比如用ip addr add 第二个IP/子网掩码 dev 网卡名称这条命令临时生效，但重启后会丢失，想要永久生效，建议直接改网络配置文件，不同发行版路径不一样，Debian系通常在/etc/network/interfaces，CentOS系在/etc/sysconfig/network-scripts/下对应网卡的配置文件里追加IPADDR2之类的参数。

第二步：修改服务监听地址

这一步是最容易踩坑的地方,以Nginx为例，默认配置里listen 80等同于监听所有IP的80端口，但如果在配置里写了listen 第一个IP:80，那就只有第一个IP的80端口对外开放，两个IP都要用的时候，可以用listen 第一个IP:80;和listen 第二个IP:80;两条指令，或者干脆用listen 80;监听全部，对于SSH服务，默认监听0.0.0即所有IP，不用改，但如果你改了ListenAddress指定某个IP，另一个IP的SSH连接就会被拒绝，查端口监听状态用netstat -tlnp，看到0.0.0:端口或:端口说明服务在监听所有IP，看到具体IP地址就只能监听那个IP。

第三步：防火墙放行规则

两台IP对应的端口都要放行,以CentOS自带的firewalld为例：

• 检查当前规则：firewall-cmd --list-all
• 永久放行TCP端口8080：firewall-cmd --permanent --add-port=8080/tcp

  

• 重载规则生效：firewall-cmd --reload

如果用的是iptables,则类似这样：

• 放行TCP端口8080：iptables -A INPUT -p tcp --dport 8080 -j ACCEPT
• 保存规则：service iptables save

双IP服务器端口监听地址怎么选：0.0.0.0还是单独IP

这是个老生常谈却又很实际的问题,两个IP都开同一个端口，到底监听哪个地址更合理？这完全取决于你的使用场景。

两个IP面向不同业务

比如第一个IP托官网,第二个IP跑API服务，这时候推荐分别绑定，互不影响，且更安全，Nginx里这样配置：

• 官网服务块：server { listen 第一个IP:80; server_name www.example.com; }
• API服务块：server { listen 第二个IP:80; server_name api.example.com; }

这样即使一个服务的配置写错了,也不会把另一个服务的端口给占掉，在防火墙层面也可以精准控制哪个IP对外开放哪个端口，缩小暴露面。

两个IP跑同一业务

比如做高可用或者负载均衡,希望不管走哪个IP都能访问同一个服务，这时候直接监听0.0.0:端口，两个IP就都能通了，但需要想清楚一个后果：服务器上所有IP的对应端口都会对外开放，如果哪天又加了第三个IP，端口也自动跟着开放，谈不上什么策略管控。

行业共识认为,默认情况下，除非有明确需求，尽量用单独IP绑定业务，配合防火墙白名单机制，把不可控因素降到最低。

双IP端口冲突怎么处理

聊到监听,不得不提端口冲突，比如第一个IP上的8080端口被Java进程占用了，第二个IP的8080端口你再怎么监听都会报Address already in use，解决办法无非两条：

• 第一个IP的服务不动,第二个IP的服务换成其他端口
• 第一个IP的服务退出,让第二个IP的服务占用8080

如果两个IP都要用同一个端口且跑不同服务,那就得借助负载均衡或端口转发工具做中转，比如Nginx代理或HAProxy。

国内服务器安全组设置：以简米云、酷番云为例

国内服务器在系统防火墙之外,还有一道云安全组的关卡，很多人在服务器上把防火墙关了，端口却还是不通，问题几乎都出在安全组上，注意，安全组的规则是和IP绑定的，一个IP一套规则。

以简米云ECS为例：

• 登录控制台,进入ECS实例列表，点击实例ID
• 找到“安全组”标签页，点击“配置规则”
• 点击“手动添加”，填上端口范围（比如8080/8080）、授权对象（0.0.0.0/0是全网段）



• 点击保存,规则立即生效

酷番云CVM的路径类似：

• 控制台进入CVM实例详情
• 左侧导航选“安全组”，点击绑定的安全组ID
• 在“入站规则”里点击“添加规则”，协议选TCP，端口填8080，来源选“全部IPv4”
• 提交后自动生效

这里要注意的是,安全组规则区分IP吗？分，如果你给第一个IP绑定的安全组放行了8080，第二个IP用的可能是另一套安全组，没放行的话，第二个IP的8080依然不通，建议在购买双IP服务器时，确认两个IP绑定在同一个安全组下，或者确保两个安全组都放行了相同端口。

国内服务器涉及ICP备案,80和443端口通常要求域名完成备案后才能正常访问，用非标准端口比如8080、8443的话，一般不受备案限制，但具体情况以服务商规则为准，各地域节点对端口的管控策略会有些出入，不过按简米云、酷番云等主流厂商的信息，非标端口普遍没有额外限制。

服务器双IP端口排障：从五个常见现象入手

端口配好了,访问还是不通，这应该是大家最头疼的，别急着怀疑配置，按下面五个现象排查，多数情况下能快速定位问题。

本机telnet通，外部不通

这说明服务监听和本机防火墙没问题,问题出在云安全组或者机房物理防火墙，先去控制台检查对应IP的安全组规则，确认端口范围、协议、授权对象都正确。

外部访问第一个IP通，第二个IP不通

大概率是第二个IP没走同一个安全组策略,或者服务压根没监听第二个IP，执行netstat -tlnp，确认服务监听在0.0.0还是具体IP，如果监听的是第一个IP，那就得改配置重启服务。

Telnet端口超时，但服务器能ping通

端口超时通常说明流量被丢弃了,既可能被安全组拦截，也可能被防火墙拦截，检查顺序：先看安全组，再看系统防火墙，最后确认服务进程是否存活，用curl -v 第二个IP:端口看返回结果，配合journalctl -u 服务名看服务日志。

swap了两个IP的规则，全乱了

遇到过不少次,用户把两个IP的安全组规则互换或者搞混，导致端口时通时不通，建议每一条规则的授权对象都写清楚IP，自己做一个简单的映射表，哪个IP对应哪些端口、哪些业务，一目了然，避免后期维护混乱。

端口一会儿通一会儿不通

一般有两种原因：一是服务进程不稳定，频繁重启导致端口短暂消失；二是触发了服务商的风控策略，比如短时间大量连接被限流，用netstat -tlnp多扫几次，确认监听状态的稳定性，再配合监控工具看系统负载和连接数。

如果从零开始规划双IP服务器端口方案

最后给一张规划思路,帮大家少走弯路。

• 先画拓扑：两个IP分别给谁用，开放哪些端口，跑哪些业务
• 再定监听：每个业务服务绑定哪个IP，还是全部用0.0.0.0
• 然后配防火墙：系统防火墙按IP来源放行指定端口，安全组同步设置
• 最后做验证：从外部网络telnet测试，确保两个IP上的目标端口都通

关于双IP服务器的费用,多说一句，云厂商对额外IP一般会收取少量月租，有些套餐会自带一个免费IP，第二个IP单独购买时控制台会有明确报价，跨地域或跨账号迁移时，注意IP归属和端口放行策略都要重新配置一遍，别直接照搬老服务器的配置。

说到底,服务器双IP端口开放的原理并不复杂：服务监听和数据链路放行，两件事都做到位，剩下的就是耐心的验证，实在搞不定，翻一翻服务商的安全组文档，或者用tcpdump -i eth0 port 8080抓包看看数据包到底到没到服务器，基本上没有查不出来的问题，规则配置时宁可一开始就做好清单记录，也别事后靠猜，以下是一个服务器两个IP开端口常见问题解答，继续聊三个大家问得最多的问题。

一个服务器两个IP开端口常见问题解答

Q1：两个IP的安全组规则完全一样，为什么一个IP能访问，另一个还不行？

需要确认两个IP是否绑定了同一个安全组,有些控制台允许一台ECS绑定多个安全组，每个IP可能对应不同安全组实例，如果确认安全组一致，去服务器上用netstat -tlnp检查服务监听状态，多数时候，就是服务只监听了其中一个IP导致的。

Q2：两个IP都用80端口跑不同网站，能不能实现？

可以用Nginx或Apache等反向代理软件实现,Nginx根据server_name区分域名，让不同域名指向不同后端端口或目录，但前提是防火墙和安全组都要对两个IP放行80端口，且监听方式要配置为独立IP监听或0.0.0:80，如果两个IP都要解析到同一服务器且跑不同网站，借助域名区分是标准做法。

Q3：双IP服务器能否把SSH端口只对其中一个IP开放？

可以,修改SSH配置/etc/ssh/sshd_config，设置ListenAddress 第一个IP，重启sshd服务，这样第二个IP的22端口对外就完全关闭了，也可以配合防火墙，只允许特定IP来源访问22端口，双重保护更稳妥，但改之前确保你还能通过其他方式登录服务器，比如管理终端，防止手误把自己锁在外面。