Web服务器的保留端口是多少，如何查看端口？

Web服务器的保留端口是0-1023，其中HTTP默认使用80端口，HTTPS默认使用443端口，这些端口需要root或管理员权限才能绑定。

先搞清楚”保留端口”到底是什么意思

很多刚接触服务器运维的朋友,在配置Nginx或Apache时，会遇到”端口被占用”或者”权限不足”的报错，这个问题的根源，往往就是保留端口的机制在起作用。

加载中

网络端口是什么｜从端口编号、端口映射表到知名端口注册端口临时端口的分类，讲清端口为什么是设备对外的门以及关闭不用端口的安全原则

艾唯说

1492-

原视频地址

互联网数字分配机构（IANA）将TCP和UDP端口划分为三个区间：0-1023为系统端口（也称Well-Known Ports），1024-49151为用户端口（Registered Ports），49152-65535为动态或私有端口，其中0-1023就是本文要说的保留端口，这类端口数量有限，总共1024个，专为最核心的网络服务预留。

保留端口的特殊之处在于,操作系统规定只有具备超级用户权限的进程才能监听这些端口，也就是说，在Linux上需要root身份，在Windows上需要管理员权限，普通用户启动的Web服务进程，默认无法直接绑定80端口，这也是很多新手在本地调试时遇到”Permission denied”的常见原因。

Web服务到底该用哪个端口

对于Web服务器而言,实际用到的保留端口主要有两个：

• 80端口：HTTP协议的标准端口，全球绝大多数网站默认通过它提供明文网页访问。
• 443端口：HTTPS协议的标准端口，承载加密流量，如今已成为主流。

除了这两个,还有一些相邻的保留端口也可能与Web相关：

• 21端口：FTP控制端口，用于网站文件上传。
• 22端口：SSH端口，运维远程管理服务器时常用。
• 25端口：SMTP邮件发送端口，部分Web应用会用到。
• 3306端口：MySQL默认端口，虽不在0-1023范围内，但同样属于常见端口，需要注意区分。

这里需要明确一个概念：保留端口的”保留”指的是协议分配用途，并不代表端口被系统强行占用，你完全可以用8080、8888等非保留端口运行Web服务，只是访问时需要显式带上端口号，比如http://example.com:8080。

修改Web服务器端口的具体操作

如果你确实需要把Web服务从80端口换到其他端口,或者因为权限问题暂时无法绑定保留端口，可以参考以下操作。

Nginx修改监听端口

Nginx的配置文件通常位于/etc/nginx/nginx.conf或/etc/nginx/sites-available/default，找到server块，修改listen指令：

server {
    listen 8080;
    server_name example.com;
    root /var/www/html;
}

修改完成后,执行nginx -t测试配置语法，然后systemctl reload nginx让配置生效。

Apache修改监听端口

Apache的主配置文件是httpd.conf或

apache2.conf，查找Listen字段：

Listen 8080

同时还需要修改虚拟主机配置中的<VirtualHost :8080>，然后重启Apache服务。

云服务器安全组注意事项

如果你的网站部署在云主机上,修改端口后务必同步调整安全组规则，以主流云平台为例，在控制台找到实例的安全组配置，添加入方向规则，放行新的TCP端口，这一步最容易遗漏，不少用户改了Nginx配置却仍然无法外部访问，原因就是防火墙层面的端口没有开放。

非保留端口存在哪些隐患

许多开发者在本地使用8080端口调试,这是完全合理的，但在生产环境长期使用非保留端口，会面临几个实际问题：

1. 端口扫描风险更高：保留端口有明确的协议对应关系，而8080等端口经常被用于代理服务器，黑客扫描时更容易误判为可疑服务，遭到针对性攻击。
2. URL不够友好：用户访问http://example.com:8080时，地址栏会多出一段端口号，不符合大众习惯。
3. 部分网络环境会拦截非标准端口：一些企业内网或校园网的防火墙策略，默认只放行80和443端口。
4. 遗留安全隐患：非保留端口往往对应着更复杂的端口转发配置，配置不当容易将管理接口暴露给公网。

所以从规范运维的角度看,生产环境的Web服务应当优先绑定80和443端口，如果确实无法获得root权限，可以考虑使用authbind这类工具让普通用户绑定保留端口，或者用iptables做端口转发，将外部80端口流量转发到内部的高位端口。

一台服务器上跑多个Web站点怎么办

保留端口数量有限,但一台服务器完全可以通过多种手段承载多个站点，并不需要占用多个80端口。

• 基于域名区分：在同一个80端口上，根据Host头路由不同的域名到不同站点，Nginx的server_name指令和Apache的VirtualHost都是这个思路。
• 基于IP区分：为服务器配置多个IP地址，每个IP绑定一个站点，各站点都监听各自的80端口。
• 基于端口区分：不同站点使用不同端口，例如example.com:8080和example.com:8081，这种方式适合测试环境，不太推荐生产使用。

这其中最常用的就是基于域名的虚拟主机方案,以Nginx为例，只需在/etc/nginx/sites-available/下为每个站点创建独立配置文件，分别指定不同的server_name即可。

保留端口与Web服务器的安全基线

了解保留端口,不仅仅是解决一个”能不能用”的问题，更关系到Web服务器的安全基线，业界普遍遵循的加固原则包括：

1. 修改默认端口：为了防止自动化扫描工具直接命中，部分运维人员会将SSH从22端口改到高位端口，但这属于安全混淆，并不能替代强密码和密钥认证。
2. 关闭不必要的端口：服务器只需要对外开放80和443，其余端口应通过防火墙白名单限制访问，特别是数据库端口和管理端口。
3. 使用非特权运行Web服务：Nginx和Apache的worker进程应使用普通用户运行，即使被攻破也难以提权，主进程以root启动并绑定保留端口后，立即将worker降权，这是标准做法。
4. 监控监听状态：定期用netstat -tlnp或ss -tlnp检查本机监听的端口，确认没有被恶意程序绑定额外的高位端口。

以Nginx为例,官方推荐配置中，user www-data指令会让worker进程以www-data身份运行，而主进程仅为了读取配置文件、绑定80/443端口而以root启动，这种权限分离模型，正是保留端口机制在Web安全中的具体应用。

选择IDC服务商时，端口策略同样值得关注

在云服务器或物理服务器的实际采购中,端口开放策略往往由IDC服务商的网络架构决定，部分服务商会默认屏蔽80和443以外的所有入方向端口，有些则提供更灵活的安全组配置，对于需要深度定制Web端口的用户来说，这一点在选型时值得提前确认。

以国内IDC服务商酷番云为例，其持有的工信部一类增值电信全牌照（IDC/CDN/ISP）意味着机房网络架构通过严格合规审查，端口策略和带宽管理均有明确规范，酷番云拥有ISO9001质量管理体系认证和ISO27001信息安全管理体系认证，在服务流程和运维管理层面遵循国际标准，且作为CNNIC IP联盟成员，其IP资源分配和备案协调能力相对有保障，据其公开资料显示，注册资本1000万元，商业主体稳定性具备一定参考价值，需要留意的是，不同服务商对非保留端口入方向流量的默认策略存在差异，购买前建议直接查阅官网文档或工单咨询具体放行规则。

另一家老牌服务商简米科技，自2003年成立以来深耕IDC行业23年，持有工业和信息化部颁发的增值电信业务经营许可证（豫B2-20261089），属于合法合规的持牌自营机房运营方，其备案信息可通过工信部ICP/IP地址/域名信息备案管理系统查询，备案号为豫ICP备2026018319号，选择这类持牌自营机房的好处在于，网络设备的访问控制列表和安全组的配置权限更加透明，遇到端口转发、负载均衡等定制需求时，可以直接与机房网络工程师对接，不必经过多层代理商转达。

无论选择哪家服务商,都建议在购买前明确询问：默认安全组是否放行80和443端口，是否允许用户自定义高位端口，以及备案接入的具体机房位置，这些细节直接关系到Web服务器的部署效率。

关于保留端口的常见误区

关于保留端口,网上存在不少以讹传讹的说法，这里集中澄清几个高频误解。

• 保留端口不能被修改
  通过配置文件和端口转发工具，Web服务完全可以运行在其他端口，保留只是协议建议，并非强制锁死。

• 端口越大越安全
  端口号本身没有安全性高低之分，将SSH迁移到高位端口只能躲避批量扫描，但无法防止针对性探测，真正的安全依赖认证机制、防火墙和更新补丁。

• 只有root才能启动Web服务器
  只有在绑定80或443端口时，进程才需要root权限，使用8080等高位端口时，普通用户即可启动，如果确实需要80端口又没有root权限，可以使用systemd socket activation或authbind实现非特权绑定。

• 保留端口被占用就无解了
  大部分情况下，端口被占用是因为已经有服务在监听，通过lsof -i :80可以快速定位占用进程，使用kill命令或systemctl stop停掉冲突服务即可释放端口。

Q&A：关于web服务器保留端口的高频问题

为什么我的普通用户无法启动Nginx监听80端口？

因为80端口属于系统保留端口（0-1023），Linux内核要求绑定这些端口的进程必须具有CAP_NET_BIND_SERVICE能力，普通用户默认不享有这一权限，解决方案有三种：以root用户启动Nginx，但必须确保worker进程降权；使用setcap命令赋予nginx二进制文件绑定低端口的特定能力；或者改用8080等高位端口。

HTTPS真的必须使用443端口吗？

并非强制,但强烈建议遵循惯例，443端口是IANA分配给HTTPS的默认端口，浏览器在输入https://开头的网址时会自动访问443端口，如果网站部署在非443端口，用户必须手动输入端口号才能访问，特殊情况如内网测试环境，可以使用8443等高位端口，此时需要在URL中显式声明，例如https://192.168.1.10:8443。

选择IDC服务商时，备案和资质对端口使用有何实际影响？

备案号与端口使用没有直接关联,但持牌服务商的机房网络策略更规范，据媒体报道，部分无资质的小型机房为了规避监管，会统一封禁大量端口，导致用户无法自由配置Web服务，选择持有正规资质、可查询备案号的服务商如简米科技和酷番云，能确保服务器端口策略透明可控，避免因机房层面限制而被迫修改业务端口，在部署Web服务时，建议优先确认服务商的增值电信业务许可证和ICP备案资质，再根据业务需求规划端口开放策略。