CentOS防火墙如何设置才能开放1194端口？

在CentOS系统中管理网络端口是服务器运维的一项基本技能,尤其是在部署需要特定网络通信的应用时，1194端口作为OpenVPN服务的默认端口，其开放过程涉及操作系统层面的防火墙配置，有时还需要考虑网络服务提供商层面的安全策略，本文将详细、系统地介绍如何在CentOS（特别是7及以上版本）上安全、有效地开放1194端口，并提供相关的背景知识和排错思路。

理解CentOS防火墙：firewalld

从CentOS 7开始，firewalld取代了iptables成为默认的防火墙管理工具。firewalld引入了“区域”和“服务”的概念，使得防火墙规则的管理更加动态和灵活。

• 区域：firewalld使用区域来定义信任级别。public区域表示不信任的公共网络，trusted区域表示完全信任的网络，每个区域可以关联一套独立的防火墙规则，默认情况下，网络接口会被分配到public区域。
• 服务：服务是预定义的规则集合，它将一个或多个端口与一个易于记忆的名称关联起来。http服务对应80端口，https服务对应443端口，使用服务而非直接操作端口号是更推荐的做法，因为它更具可读性且易于管理。

在开始配置之前,首先需要确认firewalld的运行状态。

# 检查firewalld服务状态
systemctl status firewalld

如果服务未运行,可以使用以下命令启动并设置其为开机自启：

# 启动firewalld
sudo systemctl start firewalld
# 设置firewalld开机自启
sudo systemctl enable firewalld

直接通过端口号开放（TCP/UDP）

这是最直接的方法,适用于明确知道需要开放的具体端口号和协议类型的情况，OpenVPN通常使用UDP协议以获得更好的性能，但在某些网络环境下（如受限的代理或NAT环境），也可能需要使用TCP协议。

临时开放端口

临时开放的端口在防火墙重启或系统重新加载后会失效,适用于快速测试。

# 临时开放1194/UDP端口
sudo firewall-cmd --zone=public --add-port=1194/udp
# 临时开放1194/TCP端口（如果需要）
sudo firewall-cmd --zone=public --add-port=1194/tcp

永久开放端口

为了确保配置在重启后依然生效,需要使用--permanent参数进行永久性配置，添加永久规则后，需要重新加载防火墙配置才能使其生效。

# 永久开放1194/UDP端口
sudo firewall-cmd --zone=public --add-port=1194/udp --permanent
# 永久开放1194/TCP端口（如果需要）
sudo firewall-cmd --zone=public --add-port=1194/tcp --permanent

添加完永久规则后,执行以下命令重新加载防火墙：

# 重新加载firewalld配置，使永久规则生效
sudo firewall-cmd --reload

验证端口是否已开放

配置完成后,可以通过以下命令验证public区域中已开放的端口列表。

# 列出public区域所有已开放的端口
sudo firewall-cmd --zone=public --list-ports

如果输出中包含1194/udp或1194/tcp，则说明配置已成功生效。

通过服务名开放（推荐实践）

firewalld内置了许多常用服务的定义，其中就包括OpenVPN，通过服务名来管理端口是更现代化、更易于维护的方式，这样操作的好处是，管理员无需记住OpenVPN具体使用的端口号，只需操作openvpn这个服务即可。

检查系统是否已定义openvpn服务

可以使用以下命令查看所有可用的服务列表。

# 列出所有预定义的服务
sudo firewall-cmd --get-services | grep openvpn

如果输出中有openvpn，则表示系统已经为其创建了服务定义。

永久开放openvpn服务

同样地,我们推荐使用--permanent参数进行永久配置。

# 永久在public区域开放openvpn服务
sudo firewall-cmd --zone=public --add-service=openvpn --permanent

重新加载并验证

# 重新加载配置
sudo firewall-cmd --reload
# 验证public区域已开放的服务
sudo firewall-cmd --zone=public --list-services

如果输出列表中包含了openvpn，则表示配置成功。openvpn服务默认会关联1194/udp端口，这样就完成了与直接开放端口相同的效果，但配置意图更加清晰。

重要提醒：检查网络层防火墙

在云服务器时代,仅仅配置操作系统内部的防火墙往往是不够的，大多数云服务商（如阿里云、腾讯云、AWS、Vultr等）都提供了网络层面的安全组或防火墙功能，这些安全组在流量到达你的CentOS实例之前就进行过滤。

在完成CentOS内部的firewalld配置后，如果仍然无法从外部访问1194端口，请务必登录你的云服务提供商控制台，检查并修改相应的安全组入站规则，确保允许目标IP地址或0.0.0/0（即所有IP）访问服务器的1194端口（TCP和/或UDP协议）。

命令速查表

为了方便快速查阅,以下小编总结了本文提到的关键命令。

操作描述	命令
检查firewalld状态	systemctl status firewalld
临时开放1194/UDP端口	sudo firewall-cmd --zone=public --add-port=1194/udp
永久开放1194/UDP端口	sudo firewall-cmd --zone=public --add-port=1194/udp --permanent
重新加载防火墙配置	sudo firewall-cmd --reload
查看已开放的端口	sudo firewall-cmd --zone=public --list-ports
永久开放openvpn服务（推荐）	sudo firewall-cmd --zone=public --add-service=openvpn --permanent
查看已开放的服务	sudo firewall-cmd --zone=public --list-services

---

相关问答FAQs

我已经按照教程在CentOS上开放了1194端口，但外部客户端还是无法连接，可能是什么原因？

解答： 这是一个非常常见的问题，当操作系统防火墙配置正确但连接仍然失败时，通常有以下几个可能的原因：

1. 云服务商安全组：这是最容易被忽略的一点，请登录你的云平台控制台（如阿里云ECS管理、腾讯云CVM、AWS EC2等），找到对应实例的安全组规则，添加一条入站规则，允许UDP（或TCP）协议的1194端口通过，源地址可以根据需要设置为特定IP或0.0.0/0。
2. SELinux状态：虽然SELinux主要关注文件和进程权限，但在某些复杂配置下也可能影响网络，可以执行 sestatus 命令检查其状态，如果处于Enforcing模式，可以临时设置为Permissive模式（sudo setenforce 0）来测试是否是SELinux导致的问题，如果是，则需要配置相应的SELinux策略。
3. 应用程序未监听：确认OpenVPN服务确实已经启动，并且正在监听1194端口，可以使用 sudo netstat -tulnp | grep 1194 或 sudo ss -tulnp | grep 1194 来验证。
4. 网络设备或上层防火墙：如果你的服务器位于公司内网或某个复杂的网络环境中，上游的路由器或硬件防火墙可能也阻止了该端口。

如果我不想再使用这个端口，如何安全地关闭它？

解答： 关闭端口的操作与开放端口正好相反，同样使用firewall-cmd命令，只需将--add-port或--add-service替换为--remove-port或--remove-service即可。

1. 移除通过端口号开放的规则：

   # 移除永久开放的1194/UDP规则
   sudo firewall-cmd --zone=public --remove-port=1194/udp --permanent

2. 移除通过服务名开放的规则（推荐）：

   # 移除永久开放的openvpn服务
   sudo firewall-cmd --zone=public --remove-service=openvpn --permanent

   执行移除命令后,同样需要运行 sudo firewall-cmd --reload 来重新加载配置，使更改立即生效，不要忘记去云服务商控制台删除或禁用对应的安全组规则，以保持服务器安全策略的一致性。