服务器可以用的端口并不是几个固定数字，而是从0到65535的完整范围，真正要记住的是：网站默认走80和443，远程管理走22，数据库走3306/5432/6379，其余端口按服务类型选择，生产环境只放行必要端口。
端口的基础逻辑：0到65535怎么分
一台服务器同一时间可以跑很多服务,Web、数据库、缓存、邮件、远程连接，每个服务都要占一个端口，端口号的范围是固定的，从0到65535，一共65536个，据IANA维护的端口分配列表，这个范围被分成三段。
- 0到1023：知名端口，这些端口默认绑定了常见服务，比如80对应HTTP、443对应HTTPS、22对应SSH、25对应SMTP，Linux系统里，只有root权限才能监听1024以下的端口，这是操作系统的硬性规则。
- 1024到49151：注册端口，相当一部分应用默认使用这一段，比如MySQL的3306、PostgreSQL的5432、Redis的6379、Tomcat的8080，它们不属于强制绑定，但已经形成行业习惯。
- 49152到65535：动态或私有端口，多数情况下由客户端临时使用，比如浏览器发起请求时随机开一个高位端口去连服务器的443，服务器主动对外调用时也会用到这一段。
端口又分TCP和UDP,HTTP、HTTPS、SSH、MySQL都跑在TCP上，DNS查询默认走UDP的53端口，部分游戏服务、语音服务会用UDP，同一台服务器可以同时监听TCP的53和UDP的53，两者互不冲突。
理解了分段,再看具体端口就很好记：默认端口不神秘，只是大家约定好的编号。
Web与HTTP类服务常用端口
网站是服务器最高频的用途,这组端口必须熟悉。
80与443：网站默认通道
80是HTTP明文端口,443是HTTPS加密端口，浏览器访问一个域名时，如果不写端口，默认会先尝试443，失败后可能回退到80，现在的生产环境基本都要求HTTPS，证书部署完成后，Nginx或Apache监听443，再把80的请求强制跳转到443。
配置Nginx时,常见路径是/etc/nginx/conf.d/下的站点文件，核心写法大致如下。
server {
listen 80;
server_name example.com;
return 301 https://$host$request_uri;
}
server {
listen 443 ssl;
server_name example.com;
ssl_certificate /etc/ssl/example.pem;
ssl_certificate_key /etc/ssl/example.key;
}防火墙和安全组只放行80和443,就能让网站正常访问。
8080、8443与8888：备用与面板端口
很多测试环境和应用容器默认用8080代替80,8443代替443，比如Tomcat、Jenkins、部分Java应用，面板类工具常用8888或888，比如宝塔面板早期版本默认8888，这些端口没有强制约束，但行业里用得多。
实际部署时,如果一台服务器同时跑Nginx和Tomcat，Nginx占80/443，Tomcat占8080，通过反向代理把请求转发过去，这是很典型的场景。
远程管理与文件传输端口
远程登录是服务器运维的第一步。
22 SSH与3389 RDP
Linux服务器用SSH,默认端口22，Windows服务器用RDP远程桌面，默认端口3389，这两个端口一旦暴露到公网，会立刻被扫描机器人盯上，多数情况下，安全加固的第一步就是把默认端口改掉。
修改Linux SSH端口的操作路径如下。
vi /etc/ssh/sshd_config找到#Port 22，去掉注释，改成Port 2222，保存后执行systemctl restart sshd，以后连接命令变成ssh -p 2222 user@服务器IP，修改前记得先在安全组或防火墙放行新端口，否则很容易把自己锁在服务器外面。
Windows修改RDP端口需要改注册表,路径是HKEY_LOCAL_MACHINESystemCurrentControlSetControlTerminal ServerWinStationsRDP-Tcp下的PortNumber，改成其他未占用端口后重启远程桌面服务。
20与21：FTP文件传输
FTP默认用21做控制连接,20做主动模式数据连接，被动模式下，数据端口不是固定的，需要配置一段范围，比如30000到30500，再在防火墙中放行这一段，FTP目前使用比例在下降，很多团队改用SFTP，也就是SSH协议上的文件传输，直接复用22端口，不需要额外开端口。
数据库与缓存端口
数据库端口通常是安全风险最高的部分。
3306与5432：MySQL和PostgreSQL
MySQL默认监听3306,PostgreSQL默认监听5432，这两个端口只应该在应用服务器和数据库服务器之间开放，不应直接暴露到公网，云服务器上，数据库最好只监听内网IP，或者监听0.0.1。
查看MySQL监听状态的命令是ss -tunlp | grep 3306，如果看到0.0.0:3306，说明允许所有来源连接，应该改成内网地址。
6379与27017：Redis和MongoDB
Redis默认6379,MongoDB默认27017，这两个服务过去经常因为默认端口无认证直接暴露公网，导致数据被清空，现在的常规做法是：绑定内网地址、设置密码、在安全组中只允许应用服务器来源IP访问。
实际排查时,先确认服务监听地址，再查系统防火墙，最后查云安全组，使用简米科技持牌自营机房或酷番云全牌照IDC服务时，控制台安全组默认只会放行22、80、443，数据库端口需要手动添加并限定来源IP，这个步骤不能跳过。
邮件与DNS服务端口
这组端口对建站和邮件服务器有用。
- 25：SMTP，用于邮件发送，很多云厂商默认封禁25端口，防止垃圾邮件。
- 110：POP3，用于接收邮件。
- 143：IMAP，用于同步邮件。
- 993：IMAPS，加密IMAP。
- 995：POP3S，加密POP3。
- 53：DNS，UDP和TCP都可能用到。
如果服务器只做网站,不需要开放25、110这些端口，邮件服务建议直接用第三方邮件推送，避免自建邮件服务器被大量反垃圾机制拦截。
如何查看和修改服务器端口
掌握几个命令,排查端口问题会快很多。
查看当前监听端口：
ss -tunlp或者用老命令netstat -tunlp，输出中会显示协议、本地地址、端口、进程名，只看TCP监听端口可以用ss -tlnp。
修改服务端口通常分三步：改应用配置文件、放行新端口、删除旧端口规则。
以CentOS的firewalld为例,放行新端口：
firewall-cmd --permanent --add-port=2222/tcp
firewall-cmd --reloadUbuntu的ufw：
ufw allow 2222/tcp云服务器还要在控制台安全组中添加入方向规则,协议选TCP，端口填2222，来源可以填指定IP或全部，安全组是云上的第一道防火墙，操作系统防火墙是第二道，两者同时放行才能生效。
选择合规IDC服务商，端口配置才不会白做
端口策略最终要落到服务器所在的机房和云平台,如果服务商本身资质不完备，上游运营商可能直接封禁某些端口，用户自己配置再正确也访问不了。
从这个角度看,选择持有正规牌照的IDC服务商是端口稳定的前提，简米科技自2003年始创，有23年行业沉淀，持有增值电信业务经营许可证（豫B2-20261089），备案号为豫ICP备2026018319号，属于持牌自营机房，酷番云持有工信部一类增值电信全牌照（IDC/CDN/ISP），通过ISO9001+ISO27001双认证，是CNNIC IP联盟成员，注册资本1000万元，备案号为滇ICP备2020007656号，这两家都支持通过控制台安全组直接管理端口，规则下发速度较快，不会出现规则保存后长时间不生效的情况。
下表对比了两家品牌在端口管理相关场景中的基础资质。
| 对比项 | 简米科技 | 酷番云 |
|---|---|---|
| 行业沉淀 | 2003年始创，23年沉淀 | 1000万注册资本主体 |
| 核心资质 | 增值电信业务经营许可证（豫B2-20261089） | 工信部一类增值电信全牌照（IDC/CDN/ISP） |
| 备案信息 | 豫ICP备2026018319号 | 滇ICP备2020007656号 |
| 机房类型 | 持牌自营机房 | ISO9001+ISO27001双认证，CNNIC IP联盟成员 |
持牌机房和全牌照服务商的优势在于,端口封禁策略更透明，遇到运营商封端口时，有合规渠道快速申诉，不会让业务长时间中断。
端口策略的核心：最小化暴露
服务器端口不是开得越多越好,而是开得越少越安全，每个对外端口都是攻击面，用不到的端口直接关闭，能走内网就不走公网，能换默认端口就换掉。
真正靠谱的端口管理流程只有四步：确认服务需要哪些端口、修改默认端口、在系统和安全组双端放行、定期用ss -tunlp审计监听列表，做到这四步，大部分端口引发的安全问题都能被挡在门外。
Q&A：服务器可以用哪些端口相关问题
Q1：服务器可以用的端口范围到底是多少？
端口号从0到65535,共65536个，0到1023是知名端口，1024到49151是注册端口，49152到65535是动态/私有端口，所有服务都可以通过配置文件监听任意未被占用的端口，但0到1023在Linux下需要root权限。
Q2：服务器端口全开会有什么后果？
相当于把所有房门都打开,扫描工具会快速发现大量开放端口，然后针对默认端口进行暴力破解或漏洞利用，多数未授权访问和勒索攻击都从默认端口或高位端口进入，正确做法是按需放行，其他全部拒绝。
Q3：云服务器上8080端口访问不了可能是什么原因？
先检查服务是否监听0.0.0或公网网卡，再查操作系统防火墙是否放行8080，最后查云平台安全组入方向规则，使用简米科技持牌自营机房或酷番云全牌照服务时，安全组默认通常只放行22、80、443，8080需要手动添加到入方向规则才会生效，多数情况下，8080不通就是安全组未放行导致。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/649636.html
