在Linux系统中，开放22端口通常是为了允许SSH（Secure Shell）服务的远程连接，SSH是Linux服务器进行远程管理的主要方式，22端口是SSH服务的默认端口，开放该端口意味着允许外部客户端通过SSH协议连接到服务器，本文将详细介绍在不同Linux发行版中开放22端口的详细步骤，包括防火墙配置、SELinux调整、安全限制及验证方法,确保操作既安全又有效。
22端口与SSH服务的关系
SSH是一种加密的网络传输协议，主要用于远程登录、文件传输和命令执行，默认情况下，SSH服务监听在22端口，客户端通过SSH工具（如OpenSSH、PuTTY等）连接服务器时，默认会访问22端口，若服务器防火墙未开放22端口，外部连接将被阻止,因此开放22端口是启用远程SSH访问的前提。
检查当前防火墙状态
在开放端口前，需先确认系统使用的防火墙类型，主流Linux发行版中，CentOS/RHEL默认使用firewalld，Ubuntu/Debian默认使用ufw（Uncomplicated Firewall），而一些老系统可能使用iptables。
CentOS/RHEL（firewalld）
执行以下命令检查firewalld状态：
systemctl status firewalld
若显示active (running)，则防火墙正在运行；若为inactive (dead)，需先启动防火墙（systemctl start firewalld）。
Ubuntu/Debian（ufw）
执行以下命令检查ufw状态：
ufw status
若显示Status: active，则防火墙已启用；若为inactive，需先启用（ufw enable）。
开放22端口的详细步骤
（一）基于CentOS/RHEL（firewalld）
firewalld是动态防火墙管理工具，支持区域（Zone）和端口服务的动态管理。
临时开放22端口（重启后失效）
若仅需临时开放22端口（如测试环境），执行：
firewall-cmd --zone=public --add-port=22/tcp
--zone=public：指定公共区域（默认区域，适用于外部访问）；--add-port=22/tcp：添加TCP协议的22端口。
永久开放22端口（推荐生产环境使用）
生产环境中需永久开放端口，避免重启后失效：
firewall-cmd --permanent --zone=public --add-port=22/tcp
执行后需重新加载防火墙使配置生效：
firewall-cmd --reload
验证端口是否开放
执行以下命令查看已开放的端口：
firewall-cmd --zone=public --list-ports
若输出包含22/tcp，则表示开放成功。
（二）基于Ubuntu/Debian（ufw）
ufw是简化版的防火墙工具，命令更直观，适合新手使用。
开放22端口
ufw支持通过端口号或服务名开放端口，SSH服务在ufw中对应ssh：
# 方式一：通过服务名开放（推荐） ufw allow ssh # 方式二：通过端口号开放 ufw allow 22/tcp
检查规则是否生效
执行以下命令查看ufw规则列表：
ufw status verbose
在规则列表中若看到22/tcp (v6)或ssh (v6)（IPv6）及对应Anywhere（IPv4），则表示开放成功。
（三）基于iptables（适用于旧版系统）
若系统使用iptables（如CentOS 7以下或Debian旧版），需通过iptables命令管理规则。
添加允许22端口的规则
iptables -A INPUT -p tcp --dport 22 -j ACCEPT
-A INPUT：添加到INPUT链（入站规则）；-p tcp：指定TCP协议；--dport 22：目标端口为22；-j ACCEPT：允许通过。
保存规则（避免重启失效）
不同发行版保存命令不同：
- CentOS/RHEL：
service iptables save - Debian/Ubuntu：
iptables-save > /etc/iptables/rules.v4
重启iptables服务
service iptables restart
SELinux配置（仅CentOS/RHEL需关注）
CentOS/RHEL默认启用SELinux（Security-Enhanced Linux），它会限制服务的网络访问，即使防火墙开放22端口，若SELinux策略未允许，SSH连接仍可能失败。
检查SELinux状态
getenforce
返回值为Enforcing表示启用，Permissive表示警告模式（记录但不阻止），Disabled表示关闭。
调整SELinux策略
若SELinux为Enforcing且SSH连接失败，可执行以下命令允许SSH通过网络连接：
setsebool -P sshd_can_network_connect 1
-P：使配置永久生效（重启后仍保留）。
验证SSH端口是否被SELinux允许
semanage port -l | grep ssh
若输出包含22/tcp，则表示SELinux允许22端口用于SSH。
安全限制：仅允许特定IP访问22端口
为提升安全性，建议限制只有特定IP或IP段能访问22端口，避免暴露在公网中。
firewalld限制特定IP
# 永久允许IP 192.168.1.100访问22端口 firewall-cmd --permanent --zone=public --add-rich-rule='rule family="ipv4" source address="192.168.1.100" port protocol="tcp" port="22" accept' # 重新加载防火墙 firewall-cmd --reload
ufw限制特定IP
# 允许IP 192.168.1.100访问SSH ufw allow from 192.168.1.100 to any port 22 proto tcp # 检查规则 ufw status
验证22端口是否开放
使用telnet测试
在客户端执行：
telnet <服务器IP> 22
若出现SSH-2.0-OpenSSH_8.0p1等提示，表示端口开放成功；若显示“连接失败”，则检查防火墙或SELinux配置。
使用nmap扫描
在客户端安装nmap后执行：
nmap -p 22 <服务器IP>
若结果中22/tcp显示open，则表示端口开放。
不同发行版防火墙命令对比
| 操作 | CentOS/RHEL (firewalld) | Ubuntu/Debian (ufw) |
|---|---|---|
| 检查防火墙状态 | systemctl status firewalld |
ufw status |
| 开放22端口（临时） | firewall-cmd --zone=public --add-port=22/tcp |
ufw allow 22/tcp |
| 开放22端口（永久） | firewall-cmd --permanent --zone=public --add-port=22/tcp |
ufw allow 22/tcp（ufw默认永久） |
| 重新加载防火墙 | firewall-cmd --reload |
ufw reload |
| 查看已开放端口 | firewall-cmd --zone=public --list-ports |
ufw status |
相关问答FAQs
问题1：开放22端口后，外部客户端仍无法SSH连接服务器，可能的原因有哪些？
解答：可能原因包括：
- 防火墙规则未生效：检查防火墙配置（如firewalld或ufw规则），确认22端口已正确开放，并执行
firewall-cmd --reload或ufw reload重新加载； - SELinux阻止：CentOS系统下，执行
getenforce检查SELinux状态，若为Enforcing，需运行setsebool -P sshd_can_network_connect 1允许SSH网络连接； - SSH服务未启动：执行
systemctl status sshd（CentOS）或systemctl status ssh（Ubuntu），检查SSH服务状态，未启动则需systemctl start sshd并设置为开机自启（systemctl enable sshd）； - 网络策略或安全组：若服务器在云平台（如AWS、阿里云），检查云服务商的安全组是否放行22端口；
- IP限制：若防火墙或SSH配置中限制了客户端IP，需检查
/etc/hosts.deny或/etc/hosts.allow（TCP Wrappers）文件，确认客户端IP未被拒绝。
问题2：如何限制只有公司内网IP段（192.168.1.0/24）能访问服务器的22端口？
解答：根据不同防火墙类型，配置如下：
-
CentOS/RHEL (firewalld)：
# 永久允许192.168.1.0/24网段访问22端口 firewall-cmd --permanent --zone=public --add-rich-rule='rule family="ipv4" source address="192.168.1.0/24" port protocol="tcp" port="22" accept' # 重新加载防火墙 firewall-cmd --reload
-
Ubuntu/Debian (ufw)：
# 允许192.168.1.0/24网段访问SSH ufw allow from 192.168.1.0/24 to any port 22 proto tcp # 检查规则 ufw status
配置完成后，外部非192.168.1.0/24网段的IP将无法访问22端口,提升服务器安全性。
原创文章，发布者：酷番叔，转转请注明出处：https://cloud.kd.cn/ask/29284.html
