关闭不必要的开放端口是提升系统安全性的基础操作,端口开放可能被恶意利用进行攻击，不同操作系统（如Windows、Linux）关闭端口的方法存在差异，需结合防火墙工具和具体命令实现，以下是详细操作步骤及注意事项。
Windows系统关闭开放端口命令
Windows系统主要通过“高级安全Windows防火墙”管理端口，支持netsh命令和PowerShell两种方式，均需管理员权限执行。
查看开放端口
关闭端口前需先确认目标端口状态,使用以下命令：
- netstat命令：
netstat -ano | findstr "端口号"（如netstat -ano | findstr "8080"，显示8080端口状态及进程ID）。 - PowerShell命令：
Get-NetTCPConnection -LocalPort 端口号 | Select-Object State, OwningProcess（如Get-NetTCPConnection -LocalPort 8080，显示端口状态及进程ID）。
关闭端口
（1）netsh命令（适用于传统防火墙）
通过删除防火墙规则实现端口关闭,语法：netsh advfirewall firewall delete rule name="自定义规则名" dir=in|out localport=端口号 protocol=TCP|UDP
- 参数说明：
dir：数据流方向（in为入站，out为出站，通常关闭入站端口即可）；localport：目标端口号（如8080）；protocol：协议类型（TCP或UDP）。
- 示例：关闭入站TCP 8080端口：
netsh advfirewall firewall delete rule name="Block Port 8080" dir=in localport=8080 protocol=TCP
（2）PowerShell命令（推荐，功能更全面）
使用Remove-NetFirewallRule删除现有规则，或New-NetFirewallRule创建新规则阻止端口：
- 删除规则：
Remove-NetFirewallRule -Name "规则名"（需先通过Get-NetFirewallRule | Select-Object Name, LocalPort查看规则名）。 - 创建阻止规则：
New-NetFirewallRule -Name "Block Port 8080" -Direction Inbound -LocalPort 8080 -Protocol TCP -Action Block- 参数说明：
Action Block表示阻止流量，Direction Inbound仅针对入站请求。
- 参数说明：
注意事项
- 需以管理员身份运行“命令提示符”或“PowerShell”；
- 规则名可自定义,建议明确标识（如包含端口号和协议）；
- 若端口被进程占用,需先终止进程（通过任务管理器结束对应PID的进程）。
Linux系统关闭开放端口命令
Linux系统常用防火墙工具包括iptables（传统）、firewalld（CentOS 7+）、ufw（Ubuntu/Debian），需根据发行版选择，操作均需root权限（或sudo）。
查看开放端口
- ss命令（推荐，替代netstat）：
ss -tulnp | grep "端口号"（如ss -tulnp | grep "8080"，显示端口监听状态及进程）。 - lsof命令：
lsof -i :端口号（如lsof -i :8080，显示占用端口的进程信息）。
关闭端口
（1）iptables（适用于CentOS 6及以下、Debian旧版）
通过添加规则阻止端口访问,语法：iptables -A INPUT -p tcp|udp --dport 端口号 -j DROP
- 参数说明：
-A INPUT：添加到入站规则链；-p：协议类型（tcp或udp）；--dport：目标端口号；-j DROP：丢弃数据包（也可用REJECT返回拒绝信息）。
- 示例：阻止TCP 8080端口入站：
iptables -A INPUT -p tcp --dport 8080 -j DROP - 永久生效：规则重启后失效，需执行
service iptables save（CentOS）或iptables-save > /etc/iptables/rules.v4（Debian）保存规则。
（2）firewalld（CentOS 7+、RHEL 7+）
使用firewall-cmd管理端口，支持临时和永久关闭：
- 临时关闭（重启失效）：
firewall-cmd --remove-port=端口号/协议
如firewall-cmd --remove-port=8080/tcp。 - 永久关闭：
firewall-cmd --permanent --remove-port=端口号/协议 && firewall-cmd --reload- 参数说明：
--permanent表示修改永久规则，--reload重新加载防火墙配置使规则生效。
- 参数说明：
（3）ufw（Ubuntu/Debian）
简化版防火墙,语法直观：ufw deny 端口号/协议
- 示例：拒绝TCP 8080端口访问：
ufw deny 8080/tcp。 - 验证规则：
ufw status查看防火墙状态及规则列表。
注意事项
- 操作前确认防火墙服务状态（如
systemctl status firewalld、ufw status）； - 若端口被进程占用,需先终止进程（
kill -9 进程ID）； - 生产环境建议先测试临时关闭,确认无影响后再配置永久规则。
不同系统端口管理工具对比
| 系统 | 常用工具 | 查看端口命令 | 关闭端口命令示例 | 永久生效方法 |
|---|---|---|---|---|
| Windows | netsh | netstat -ano | findstr “端口” | netsh advfirewall firewall delete rule… |
| Windows | PowerShell | Get-NetTCPConnection -LocalPort 端口 | New-NetFirewallRule -Action Block… | 规则创建后永久生效 |
| Linux | iptables | ss -tulnp | grep “端口” | iptables -A INPUT -p tcp –dport 端口 -j DROP |
| Linux | firewalld | firewall-cmd –list-ports | firewall-cmd –permanent –remove-port=端口/协议 | –permanent + –reload |
| Linux | ufw | ufw status | ufw deny 端口/协议 | 规则添加后自动永久生效 |
相关问答FAQs
Q1：关闭端口后如何验证端口是否已成功关闭？
A1：可通过以下方式验证：
- Windows：使用
netstat -ano | findstr "端口号"，若端口不再显示或显示为“LISTENING”但无进程关联（PID为4表示系统内核占用），则关闭成功；或使用telnet IP 端口号测试连接，若显示“连接无法建立”则说明端口已阻止。 - Linux：使用
ss -tulnp | grep "端口号"，确认端口不再监听；或使用nc -zv IP 端口号（需安装netcat工具），若返回“Connection refused”则表示端口已关闭。
Q2：为什么使用命令关闭端口后，端口仍显示开放？
A2：可能原因及解决方法如下：
- 规则未保存：如iptables未执行
service iptables save，重启后规则会失效，需保存规则； - 防火墙服务未重启：firewalld修改永久规则后未执行
firewall-cmd --reload，需重新加载配置； - 规则冲突：存在更优先的允许规则（如INPUT链中已有
ACCEPT规则覆盖DROP规则），可通过iptables -L -n --line-numbers（Linux）或Get-NetFirewallRule | Sort-Object Priority（Windows）查看规则优先级，调整或删除冲突规则； - 进程未释放端口：若端口被应用程序持续监听，需先终止对应进程（如
kill -9 PID），再关闭端口。
原创文章，发布者：酷番叔，转转请注明出处：https://cloud.kd.cn/ask/18801.html
