麒麟系统如何配置防火墙开放指定端口？

Question

在使用银河麒麟操作系统（Kylin）时，如何通过命令行配置防火墙以开放指定端口（如8080）？常见问题包括：系统默认使用firewalld还是iptables？如何启动防火墙服务并添加永久性端口规则？执行`firewall-cmd --add-port=8080/tcp`后为何重启失效？如何确认端口已成功开放并监听？需注意SELinux和网络策略是否协同放行。

Answer 1

一、银河麒麟操作系统中防火墙配置的深度解析

1. 系统默认使用的防火墙机制：firewalld 还是 iptables？

银河麒麟操作系统（Kylin）基于 CentOS 或 Debian 系列内核开发，当前主流版本普遍采用 firewalld 作为默认的动态防火墙管理工具。与传统的静态 iptables 规则不同，firewalld 支持运行时配置且无需重启服务。

可通过以下命令确认当前系统使用的是 firewalld 还是直接操作 iptables：

systemctl status firewalld

若显示 active (running)，则说明 firewalld 正在运行；否则可能依赖于底层 iptables 手动规则或未启用防火墙服务。

值得注意的是，即使 firewalld 启用，其底层仍通过 nftables/iptables 自动生成规则链，因此两者并非完全互斥。

2. 启动并启用防火墙服务

若 firewalld 未启动，需执行如下命令启动并设置开机自启：

sudo systemctl start firewalld
sudo systemctl enable firewalld

验证状态是否正常：

sudo firewall-cmd --state

输出 running 表示服务已就绪。

3. 添加永久性端口开放规则

常见误区是仅执行临时命令：

firewall-cmd --add-port=8080/tcp

该命令添加的规则在系统重启或 firewalld 重载后将失效。要实现持久化配置，必须加上 --permanent 参数：

sudo firewall-cmd --permanent --add-port=8080/tcp

随后重新加载防火墙以应用更改：

sudo firewall-cmd --reload

此时规则已写入配置文件（通常位于 /etc/firewalld/zones/public.xml），可跨重启生效。

4. 验证端口是否成功开放

使用以下命令查看当前开放的端口列表：

sudo firewall-cmd --list-ports

或查询特定端口是否存在：

sudo firewall-cmd --query-port=8080/tcp

返回 yes 表示已添加。

进一步确认服务是否监听该端口：

ss -tuln | grep :8080

或使用 netstat（如已安装）：

netstat -anp | grep :8080

5. SELinux 与网络策略协同放行分析

即便防火墙允许访问，SELinux 可能阻止服务绑定到非标准端口（如 8080）。检查 SELinux 模式：

getenforce

若为 Enforcing，需确保端口被 SELinux 策略允许：

semanage port -l | grep http_port_t

若 8080 不在其中，则添加：

sudo semanage port -a -t http_port_t -p tcp 8080

注意：semanage 命令属于 policycoreutils-python-utils 包，需提前安装。

6. 故障排查流程图

graph TD
            A[请求无法访问8080端口] --> B{firewalld是否运行?}
            B -- 否 --> C[启动firewalld并enable]
            B -- 是 --> D[检查是否添加--permanent规则]
            D -- 否 --> E[添加permanent规则并reload]
            D -- 是 --> F[检查SELinux是否限制端口]
            F -- 是 --> G[使用semanage授权端口]
            F -- 否 --> H[检查服务是否监听8080]
            H -- 否 --> I[检查应用配置绑定地址]
            H -- 是 --> J[检查外部网络ACL/安全组]
            J --> K[问题解决]

7. 常见配置错误与解决方案对照表

问题现象	可能原因	解决方案
8080端口外部无法访问	firewalld未启用	systemctl start firewalld && enable
重启后端口关闭	缺少--permanent参数	使用--permanent添加并reload
本地可连但远程不通	云平台安全组未放行	检查VPC/安全组策略
服务启动失败绑定8080	SELinux拒绝非标准端口	semanage port -a -t http_port_t -p tcp 8080
firewall-cmd命令不存在	firewalld未安装	yum install firewalld 或 apt install firewalld
规则添加报错not authorized	未使用sudo或权限不足	确保root权限执行
semanage命令找不到	policycoreutils-python-utils缺失	yum install policycoreutils-python-utils
端口显示开放但无响应	服务未监听或绑定127.0.0.1	检查服务bind地址应为0.0.0.0
firewalld reload失败	配置文件语法错误	检查/etc/firewalld/下xml合法性
大量DROP日志	默认zone策略过严	调整zone或显式allow端口