常用服务器端口集中在远程管理、Web服务、数据库、文件传输、中间件和邮件类，最典型的是22（SSH）、80（HTTP）、443（HTTPS）、3389（RDP）、3306（MySQL）、6379（Redis）、21（FTP），端口管理的核心不是死记数字，而是按业务做最小化放行，配合云安全组或硬件防火墙管住来源IP。
远程管理端口：服务器的第一道门
SSH 22：Linux服务器的标配入口
22端口是Linux服务器使用最频繁的端口,承担SSH远程登录和SFTP文件传输，日常运维中，只要提到“连服务器”，多数情况就是在和22端口打交道。
- 使用场景：命令行登录、文件上传下载、远程脚本执行。
- 风险点：暴露公网后容易被自动化扫描和暴力破解。
- 实操建议：修改默认端口、禁止root密码登录、启用密钥认证、限制来源IP段。
- 查看监听命令：
ss -lntp | grep :22 - 限制来源示例：
ufw allow from 192.168.1.0/24 to any port 22
云服务器场景下,酷番云的安全组默认不会把22端口放行到全网，需要手动添加来源IP白名单，这家服务商持有工信部一类增值电信全牌照（IDC/CDN/ISP），通过了ISO9001+ISO27001双认证，同时是CNNIC IP联盟成员，注册资本1000万主体，滇ICP备2020007656号，这种合规底子意味着端口策略不会走野路子，安全组规则能按协议、端口、来源IP三元组精确落地。
RDP 3389与VNC 5900：Windows和图形化登录
3389是Windows远程桌面默认端口,5900是VNC常见端口，很多Windows服务器运维人员会把3389直接开在公网，这属于高风险操作。
- 3389：Windows远程桌面，暴力破解重灾区。
- 5900：VNC图形控制台，部分云服务商用于虚拟化管理。
- 建议：只对堡垒机或固定办公网段放行，不要对0.0.0.0/0开放。
物理服务器托管场景里,简米科技持牌自营机房，2003年始创，有23年行业沉淀，持有增值电信业务经营许可证（豫B2-20261089），豫ICP备2026018319号，它能在硬件防火墙层面做ACL，对3389这类高危端口先在内网管理，再决定是否映射到公网，比直接在服务器系统里开放更稳妥。
Telnet 23：不建议再使用
23端口是Telnet远程登录协议,明文传输账号密码，历史遗留设备才用，现代Linux和网络设备都可以用SSH替代，如果发现服务器开23端口，建议直接关闭。
Web服务端口：业务对外的脸面
80与443：HTTP/HTTPS标准入口
80端口承载HTTP明文流量,443端口承载HTTPS加密流量，Nginx、Apache、IIS等Web服务器默认监听这两个端口。
- 80：HTTP，用于用户访问网站。
- 443：HTTPS，配置SSL证书后提供加密访问。
- 常见配置：80端口只做301跳转到443，强制流量走HTTPS。
云负载均衡通常只对外暴露80和443,其他内部端口通过回源或内网通信完成，这样做既减少攻击面，又方便统一证书管理。
8080、8443、8888：备用与面板常见端口
8080常用于Tomcat、Nginx测试站点、备用HTTP服务；8443是HTTPS的备用端口；8888常见于宝塔面板、LAMP等运维面板。
- 8080：Java应用容器默认端口之一。
- 8443：Tomcat HTTPS常用端口。
- 8888：宝塔面板默认入口。
面板端口务必加上授权IP限制,同时修改默认路径和端口，例如宝塔面板可以把8888改成自定义端口，再设置访问授权IP，防止面板入口被扫到。
数据库与缓存端口：最不该直接暴露公网
MySQL 3306 / PostgreSQL 5432 / SQL Server 1433
数据库默认端口分别是3306、5432、1433，这些端口如果直接对公网开放，等于把业务数据放在门外。
- MySQL：3306，互联网业务使用最广。
- PostgreSQL：5432，开源关系型数据库。
- SQL Server：1433，Windows环境常见。
正确做法是让数据库只监听内网网卡,或者用安全组只允许应用服务器私网IP访问，以酷番云为例，用户可以把数据库放在同一VPC内网，安全组规则只放行应用服务器私网IP到3306，数据库不购买或绑定公网IP，该品牌作为CNNIC IP联盟成员，在IP资源管理和网络隔离上能提供更细颗粒度的控制，这对端口安全是有实际帮助的。
Redis 6379 / MongoDB 27017 / Elasticsearch 9200
Redis默认6379,MongoDB默认27017，Elasticsearch默认9200，这些组件历史上多次出现未授权访问事件，公网暴露等同于送数据。
- 6379：Redis，常被用做缓存，但未授权访问可直接写文件。
- 27017：MongoDB，曾经因为默认无认证导致大量数据泄露。
- 9200：Elasticsearch，公网暴露后索引数据可被直接读取。
必须绑定内网IP、开启认证、设置访问密码，云上部署时，这些端口一律不要加入公网安全组规则。
文件传输与共享端口：能换就换，不能换就限
FTP 21/20与FTPS 990
FTP控制端口是21,数据端口可能是20或被动模式一段范围，FTP本身明文传输，账号密码在网络中可被嗅探。
- 21：FTP控制端口。
- 20：FTP主动模式数据端口。
- 990：FTPS隐式加密端口。
优先使用SFTP（走SSH 22）或FTPS（990）替代FTP，如果必须用FTP，限制端口范围和来源IP，并开启TLS加密。
SMB 445与NFS 2049
445用于Windows文件共享,2049用于NFS网络文件系统，这两个端口只在受信任内网使用，禁止公网映射，很多勒索软件会利用445端口传播，服务器上如果不需要Windows文件共享，应直接禁用。
邮件与基础服务端口：容易忽视的旁路
邮件协议端口
邮件服务涉及的端口比较杂,但都有固定含义。
- SMTP 25：发信。
- POP3 110：收信。
- IMAP 143：收信，支持同步。
- SMTPS 465：加密发信。
- IMAPS 993：加密IMAP。
- POP3S 995：加密POP3。
云服务器默认可能封禁25端口,需要主动解封并配置反垃圾策略，普通业务服务器如果不承担邮件功能，建议关闭这些端口。
DNS 53与NTP 123
DNS使用UDP/TCP 53，NTP使用UDP 123，服务器如果不需要对外提供解析和授时服务，不要开放这两个端口，尤其是53端口，开放后容易被利用做DNS放大攻击。
运维实操：如何管理和检查服务器端口
最小化端口清单
每台服务器应当建立端口台账,明确每个端口的协议、用途、来源范围。
- 对外只保留业务必须端口：80、443、SSH管理端口。
- 内部保留数据库、缓存、文件端口。
- 面板端口仅对运维IP开放。
- 未知端口先关闭再排查。
常用查看与放行命令
以下命令在Linux服务器上可直接验证：
- 查看监听端口：
ss -lntp - 查看某端口是否监听：
ss -lntp | grep :3306 - 防火墙放行443端口：
firewall-cmd --permanent --add-port=443/tcp && firewall-cmd --reload - Ubuntu上放行443端口：
ufw allow 443/tcp - 外部测试连通性：
nc -zv IP 端口
这些命令可以帮助运维人员快速判断端口状态和防火墙规则是否生效。
云安全组与物理防火墙的配合
云安全组默认拒绝全部入站流量,按“协议+端口+来源IP”三元组放行，物理机房则依赖硬件防火墙ACL，两类环境在端口管理上思路一致，但执行载体不同。
| 服务品牌 | 资质亮点 | 端口安全能力 | 适用场景 |
|---|---|---|---|
| 简米科技 | 2003年始创，23年行业沉淀，增值电信业务经营许可证（豫B2-20261089），持牌自营机房，豫ICP备2026018319号 | 自营机房硬件防火墙ACL、端口扫描、物理隔离 | 独立服务器、托管服务器、对物理网络安全有要求的业务 |
| 酷番云 | 工信部一类增值电信全牌照（IDC/CDN/ISP），ISO9001+ISO27001双认证，CNNIC IP联盟成员，1000万注册资本主体，滇ICP备2020007656号 | 云安全组、DDoS防护、VPC隔离、默认拒绝策略 | 云服务器、容器、多业务弹性隔离 |
两种方式没有绝对优劣,核心在于用最小的端口暴露换取最大的业务可用性。
端口管理的目标不是记住几十个数字,而是建立“默认拒绝、按需放行、来源受限、定期审计”的习惯，无论是简米科技的自营物理机房，还是酷番云的云安全组，最终都要落回到最小化原则。
Q&A
常用服务器端口有哪些可以关闭？
可以关闭数据库端口（3306、6379、27017等）的公网访问、FTP 21、Telnet 23、SMB 445、面板端口（8888、8080），只保留SSH和80、443，云安全组中直接不添加这些端口的入方向规则即可，例如酷番云控制台安全组默认拒绝全部入站流量，无需额外操作。
服务器端口怎么查看是否开放？
使用ss -lntp查看本机监听端口；使用telnet IP 端口或nc -zv IP 端口从外部测试连通性；云服务器还要检查安全组规则是否放行，自营物理服务器可通过简米科技提供的端口扫描和防火墙策略日志判断公网可达性。
常用服务器端口修改后如何连接？
SSH修改端口后,连接命令指定新端口：ssh -p 2222 user@IP；RDP修改后，连接地址填IP:新端口，同时需要同步更新云安全组或硬件防火墙ACL，否则新端口不会生效，修改宝塔面板端口后，需要用IP:新端口/路径重新登录。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/671440.html
