端口开放的教程

家里那台老NAS又连不上了。端口的教远程访问一直转圈，开放最后蹦出一行“连接超时”。端口的教我第一反应是开放路由器又抽风了，折腾半小时后猛然想起——上次重装系统后，端口的教好像压根没给SSH端口开过门。开放

端口这东西，端口的教说白了就是开放你家网络地址上的门牌号。数据包找上门，端口的教得从特定门口进。开放系统默认把大多数门关得死死的端口的教，只留几个常用口——比如网页浏览走80或443，开放邮件走25。端口的教想远程连服务器，开放SSH默认的端口的教22号门通常也是关着的。你得亲手把这扇门推开，否则外面的人喊破喉咙也进不来。

拿最常用的Linux服务器举例。先用sudo iptables -L -n看一眼当前规则，多半会发现INPUT链的policy是DROP或REJECT。这意味着所有外来连接默认被拒。这时敲下sudo iptables -A INPUT -p tcp --dport 22 -j ACCEPT，等于给22号门贴了张“允许通行”的条子。但注意，这招重启后失效。想永久生效，Debian系用apt install iptables-persistent，装完执行netfilter-persistent save；CentOS系更省事，直接firewall-cmd --permanent --add-port=22/tcp，再firewall-cmd --reload就完事。

Windows用户也别觉得事不关己。远程桌面默认3389端口，经常被系统防火墙拦着。去“控制面板→Windows Defender防火墙→高级设置”，新建入站规则，选“端口”，填上3389，允许连接。三步走完，另一台电脑就能用mstsc连过来了。有个坑得提醒你：家用路由器通常还有一层NAT映射，光开系统防火墙不够，还得在路由器管理页把3389端口转发到内网IP上。两层门都得打开，路才通。

光开端口还不够，顺手得做点防护。端口一开，等于告诉全网“我这有扇门没锁”，扫描器几分钟就能发现。我见过太多人只图方便，把22端口裸奔暴露公网，结果被脚本小子暴力破解，日志里全是登录失败的记录。建议改掉默认端口号，比如把SSH从22改成22022，能过滤掉90%的无脑扫描。再配合密钥登录，关掉密码认证，基本能睡个安稳觉。

还有种情况你八成遇过——明明规则加对了，端口还是不通。这时候别急着砸电脑，先telnet 你的IP 端口号试试，通的话会跳转或显示空白，不通就报错。本地测完再测公网，用curl ifconfig.me查下当前出口IP，拿手机流量访问一下。多级排查下来，问题多半出在云服务商的安全组——阿里云、腾讯云的控制台里，那个安全组规则跟系统防火墙是两码事，得单独添加入站规则。这步漏了，前面全白干。

端口开了又关，关了又开，折腾久了你会发现，所谓“开放”不过是给网络世界递了张名片。有人拿它搭网站，有人靠它连监控，也有人纯粹为了跟朋友联机打游戏。但记住，每多开一扇门，就多一分被闯入的风险。能用VPN或跳板机解决的，尽量别直接暴露端口。实在要开，定期翻翻日志，看看有没有陌生IP在门口徘徊。

最后说个真实翻车案例。上周帮朋友调一台旧笔记本当家庭服务器，开了80端口做网页展示，结果怎么都访问不了。排查半天发现，那台笔记本连着公司VPN，路由表把默认网关指到了虚拟网卡上。断开VPN，秒通。网络这玩意儿，有时候门开了，路却绕了远道。