业务端口打不开：openEuler上firewalld放行与区域管理

新部署了一套业务系统，本机访问正常，客户端却连不上——十有八九是防火墙没放行端口。openEuler 默认启用 firewalld 管理主机防火墙，它把网络按"区域"划分信任等级，接口归入区域，规则配在区域里。会用区域和放行两条线，端口问题五分钟就能理清。

头一步，看现状：哪个区域在起作用、放行了什么。

firewall-cmd --get-active-zones
firewall-cmd --list-all

--list-all 列出默认区域的接口、服务与端口，新装系统通常只有 ssh 在放行列表里，业务端口不在其中自然连不上。

接着，放行业务端口。

firewall-cmd --permanent --add-port=8080/tcp
firewall-cmd --reload

--permanent 写入永久配置，--reload 让其生效；不加载的话当前运行态不变，容易误判"配了没效果"。只对内网开放的管理端口，可以带上源地址限制：

firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="192.168.10.0/24" port port="22" protocol="tcp" accept'

富规则把 22 端口的放行范围收窄到管理网段，公网方向连握手都建不起来。

然后，用区域管多网卡服务器。 业务口归 public 区、内网管理口归 trusted 区，接口与区域的绑定用 firewall-cmd --zone=trusted --change-interface=网卡名 完成，各口各规矩互不牵连。

配置完怎么验。 再次 firewall-cmd --list-all 核对端口已入列；客户端连一次业务端口，ss -tlnp | grep 8080 确认服务在监听、防火墙不再拦截。仍不通时按顺序排查：服务监听地址是否 0.0.0.0、云平台安全组是否放行、中间是否有其他防火墙设备。

两点提醒：一是 --permanent 与运行态是两套状态，改完必须 reload，排查时先 --list-all 看当前生效值；二是放行端口做减法同样重要，下线的业务记得 --remove-port 收口。主机防火墙是服务器出门的头一道闸，规则清楚、留痕完整，出了问题才好倒查。贵州诚鑫致达科技在服务器部署与安全加固交付中，防火墙规则与基线核查是标准环节，有需要的单位可以按"诚鑫致达 服务器加固"了解我们的清单。

（约 930 字）

企业存储选型参考｜贵州诚鑫致达

做全闪高性能数据库与虚拟化，群晖机型参考：FS6400 · FS3410 · FS2500。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。

服务区域｜贵州诚鑫致达

贵州群晖NAS、贵阳存储、数据备份、信创云盘或 IT 集成服务，可联系贵州诚鑫致达科技，服务范围覆盖贵州全省各市州。云南昆明企业 NAS 存储方案与备份容灾，支持远程与上门服务。