Linux云虚拟主机端口号如何查询与修改？

在Linux云虚拟主机的管理中,端口号是一个既基础又至关重要的概念，它如同公寓楼中的房间号，服务器的IP地址是这栋楼的总地址，而端口号则精确地指明了每一项服务（如网站、数据库、邮件等）所在的“房间”，没有端口号，数据包就无法知道应该交付给哪个应用程序，互联网的有序通信也就无从谈起，深入理解并熟练管理端口号，是每一位Linux云主机用户必备的核心技能。

端口的基础知识

互联网通信基于TCP/IP协议簇，其中IP协议负责将数据包路由到正确的服务器（通过IP地址），而TCP（传输控制协议）和UDP（用户数据报协议）则负责将数据包交付给该服务器上正确的应用程序，这个“交付”过程，就是通过端口号来实现的。

一个端口号是一个16位的无符号整数,因此它的范围是0到65535，当一台服务器同时提供多种服务时，例如同时作为Web服务器和邮件服务器，客户端通过访问同一个IP地址，但不同的端口号，来与不同的服务进行通信，浏览器默认访问80端口（HTTP）或443端口（HTTPS）来获取网页，而邮件客户端则可能连接25端口（SMTP）来发送邮件。

端口的分类

为了便于管理和分配,互联网号码分配局（IANA）将端口号划分为三个主要范围，这种划分有助于标准化常用服务，并为自定义应用预留空间。

端口范围	分类	说明与示例
0 – 1023	熟知端口	这些端口被严格分配给最核心、最基础的服务，21 (FTP), 22 (SSH), 23 (Telnet), 53 (DNS), 80 (HTTP), 443 (HTTPS)，在Linux系统中，只有root用户或具有CAP_NET_BIND_SERVICE权限的进程才能绑定这些端口。
1024 – 49151	注册端口	这些端口被分配给特定的应用程序或服务，但不像熟知端口那样严格，3306 (MySQL/MariaDB), 3389 (RDP), 5432 (PostgreSQL), 6379 (Redis)，普通用户通常可以绑定这些端口。
49152 – 65535	动态/私有端口	这些端口通常不由服务固定监听，而是由客户端程序在发起连接时，临时随机选择使用，它们也被称为“临时端口”，服务器在响应客户端时，会将数据发回给客户端使用的这个临时端口。

Linux云虚拟主机常见服务端口

在管理Linux云主机时,你会频繁接触到以下一些关键端口，了解它们的用途对于配置服务、排查故障和加强安全至关重要。

服务	端口号	协议	用途说明
SSH (Secure Shell)	22	TCP	用于远程安全地管理服务器的命令行界面，是管理员最常用的端口。
HTTP (Hypertext Transfer Protocol)	80	TCP	用于传输网页内容，所有网站浏览的基础。
HTTPS (HTTP Secure)	443	TCP	HTTP的安全版本，通过SSL/TLS加密传输数据，保护用户隐私。
FTP (File Transfer Protocol)	20, 21	TCP	用于文件传输，21端口是控制连接（发送命令），20端口是数据连接（传输文件）。
MySQL / MariaDB	3306	TCP	最流行的关系型数据库管理系统之一，用于存储网站数据。
PostgreSQL	5432	TCP	功能强大的开源对象-关系型数据库系统。
Redis	6379	TCP	高性能的内存键值数据库，常用于缓存、会话存储等。
DNS (Domain Name System)	53	UDP/TCP	用于域名解析，将人类可读的域名（如www.example.com）转换为机器可读的IP地址。

端口的管理与安全实践

仅仅知道端口号是不够的,更重要的是如何管理和保护它们。

查看开放端口

当需要排查服务是否正在运行或检查是否有未授权的端口开放时,可以使用以下命令：

• netstat -tuln：这是一个经典的命令，可以列出所有处于监听（-l）状态的TCP（-t）和UDP（-u）端口，并以数字形式（-n）显示地址和端口号，不进行反向解析，速度更快。
• ss -tuln：ss是netstat的现代替代品，功能更强大，速度更快，输出更简洁，用法与netstat类似。
• lsof -i :端口号：这个命令可以查看指定端口被哪个进程所占用，非常实用。lsof -i :22会显示占用22端口的SSH进程信息。

配置防火墙

防火墙是保护服务器端口的第一道防线,Linux系统中最常见的防火墙工具是iptables和ufw（Uncomplicated Firewall）。ufw是iptables的一个前端，旨在简化配置过程。

以ufw为例，基本操作如下：

• sudo ufw enable：启用防火墙。
• sudo ufw allow 22/tcp：允许TCP协议的22端口（SSH）入站流量。
• sudo ufw deny 23/tcp：拒绝TCP协议的23端口（Telnet）入站流量。
• sudo ufw status：查看防火墙状态和规则列表。

一个重要的安全原则是“最小权限原则”，即只开放业务必需的端口，关闭所有其他不必要的端口。

修改默认端口

为了减少自动化扫描和暴力破解攻击,修改某些关键服务的默认端口是一个有效的安全策略，最常见的就是修改SSH的默认端口22。

修改步骤大致如下：

1. 编辑SSH配置文件：sudo nano /etc/ssh/sshd_config。
2. 找到#Port 22这一行，去掉注释，并将其修改为一个不常用的端口号，例如Port 2222。
3. 保存文件并退出。
4. 在防火墙中开放新的端口：sudo ufw allow 2222/tcp。
5. 重启SSH服务使配置生效：sudo systemctl restart sshd。
6. 重要： 在断开当前连接之前，务必开启一个新的终端窗口，使用新端口测试SSH登录是否成功，成功后再关闭原连接，否则可能导致无法远程管理服务器。

相关问答FAQs

问题1：我已经在服务器的防火墙（如ufw）中开放了8080端口，并且我的Web服务也正在监听这个端口，为什么从外部浏览器访问 http://你的服务器IP:8080 仍然失败？

解答： 这是一个非常常见的问题，原因通常是“双重防火墙”，除了服务器内部的防火墙（如ufw或iptables），绝大多数云服务商（如阿里云、腾讯云、AWS等）还提供了一个外部的网络层面的防火墙，通常称为“安全组”，安全组规则优先于服务器内部防火墙，你必须登录到你的云服务商控制台，找到对应的云主机实例，进入其“安全组”设置，手动添加一条入站规则，允许TCP协议的8080端口流量通过，只有当服务器内部防火墙和云服务商的安全组都允许该端口的流量时，外部访问才能成功。

问题2：为什么我不能将我的网站服务设置在80或443以外的端口，比如8888端口？

解答： 你可以将网站服务设置在8888或其他任何非特权端口上，技术上完全可行，这样做的主要缺点是用户体验不佳，标准的Web浏览器默认会尝试连接80端口（HTTP）和443端口（HTTPS），如果你的网站运行在8888端口，用户就必须在地址栏中手动输入端口号，如 http://yourdomain.com:8888，这不仅不方便，也不够专业，一些企业或公共网络的防火墙可能会阻止非标准端口的访问，导致部分用户无法访问你的网站，除非有特殊需求（如内部测试、隐藏服务等），通常都应使用标准的80和443端口来提供Web服务。