Linux如何关闭3306端口？

在Linux系统中,3306端口通常是MySQL/MariaDB数据库服务的默认监听端口，关闭该端口可能是出于安全加固、服务迁移或暂时停止数据库访问等需求，关闭3306端口的方法多样，需根据实际场景选择，本文将详细介绍不同操作系统的具体步骤及注意事项。

关闭3306端口的常用方法

停止MySQL/MariaDB服务（彻底关闭端口占用）

若需永久不再通过3306端口访问数据库,可直接停止对应服务，彻底释放端口。

• 基于systemd的系统（如CentOS 7+、Ubuntu 16.04+）：

  # 停止MySQL服务（临时停止）
  sudo systemctl stop mysqld
  # 禁止开机自启（永久停止）
  sudo systemctl disable mysqld
  # 查看服务状态（确认已停止）
  sudo systemctl status mysqld

  对于MariaDB,将mysqld替换为mariadb即可。

• 基于SysVinit的系统（如CentOS 6、Ubuntu 14.04）：

  # 停止MySQL服务
  sudo service mysqld stop
  # 禁止开机自启
  sudo chkconfig mysqld off

  注意：此方法会完全关闭数据库服务，导致所有数据库连接中断，需确保无业务依赖。

通过防火墙拦截端口（临时或灵活控制）

若仅需临时禁止外部访问3306端口,或保留本地服务但限制远程连接，可通过防火墙规则实现。

• 使用firewalld（CentOS 7+、RHEL 7+、Fedora）：

  

  # 查询3306端口是否已开放
  sudo firewall-cmd --list-ports | grep 3306
  # 永久移除3306/tcp端口规则（需重新加载生效）
  sudo firewall-cmd --permanent --remove-port=3306/tcp
  # 重新加载防火墙规则
  sudo firewall-cmd --reload
  # 验证规则是否移除
  sudo firewall-cmd --list-ports

• 使用iptables（CentOS 6、Ubuntu及其他Linux发行版）：

  # 添加规则拒绝外部访问3306端口（INPUT链）
  sudo iptables -I INPUT -p tcp --dport 3306 -j DROP
  # 保存规则（CentOS 6：service iptables save；Ubuntu：iptables-save > /etc/iptables/rules.v4）
  sudo service iptables save  # CentOS 6

  注意：iptables规则默认临时生效，需通过iptables-save或iptables-persistent保存，避免重启后失效。

• 使用ufw（Ubuntu默认防火墙）：

  # 删除已允许的3306端口规则
  sudo ufw delete allow 3306/tcp
  # 重新加载防火墙
  sudo ufw reload

修改MySQL/MariaDB配置文件（禁止监听3306端口）

若需保留数据库服务但仅允许本地访问（或完全禁止监听3306），可修改数据库配置文件。

• 编辑MySQL配置文件（通常位于/etc/my.cnf、/etc/mysql/mysql.conf.d/mysqld.cnf或/etc/my.cnf.d/server.cnf）：

  sudo vim /etc/my.cnf

• 添加或修改以下参数：

  [mysqld]
  # 方式1：完全禁止网络监听（仅允许本地socket连接）
  skip-networking
  # 方式2：限制仅本地IP（127.0.0.1）监听3306端口
  bind-address = 127.0.0.1
  # 方式3：修改默认端口（若需临时切换而非关闭）
  port = 3307

• 重启MySQL服务使配置生效：

  

  sudo systemctl restart mysqld

  注意：skip-networking会完全禁用TCP/IP连接，仅支持Unix socket，需确保客户端支持socket连接；bind-address=127.0.0.1仅允许本地访问，远程连接将被拒绝。

不同方法对比及适用场景

验证端口是否关闭

执行以下命令确认3306端口状态：

# 使用netstat检查（需安装net-tools）
netstat -tuln | grep 3306
# 使用ss检查（推荐，默认已安装）
ss -tuln | grep 3306

若无输出,表示3306端口已成功关闭；若仍有LISTEN状态，需检查上述步骤是否遗漏（如防火墙规则未生效、配置文件未重启服务等）。

相关问答FAQs

Q1：关闭3306端口后，如何重新开放？
A1：根据关闭方法选择对应逆向操作：

• 若通过停止服务关闭：执行systemctl start mysqld启动服务，并systemctl enable mysqld设置开机自启。
• 若通过防火墙关闭：重新添加端口规则（如firewall-cmd --permanent --add-port=3306/tcp）并重载防火墙；iptables需执行iptables -D INPUT -p tcp --dport 3306 -j DROP后保存规则。
• 若通过配置文件关闭：注释或删除相关配置（如#bind-address=127.0.0.1），重启MySQL服务。

Q2：关闭3306端口会影响本地连接数据库吗？
A2：取决于关闭方式：

• 防火墙拦截默认仅限制外部访问,本地IP（如127.0.0.1）仍可连接，除非明确添加-s 127.0.0.1限制本地。
• 修改配置文件为bind-address=127.0.0.1时，本地仍可通过localhost或0.0.1连接；若设置为skip-networking，则仅支持Unix socket连接（如mysql -u root -S /var/lib/mysql/mysql.sock），需客户端调整连接方式。
• 停止服务则完全无法连接,无论本地或远程。