在服务器管理中，端口管理是保障系统安全的关键环节，开放的端口可能成为黑客入侵的通道，而及时关闭不必要的端口能有效降低风险，本文将以实操为核心，详细介绍如何在不同操作系统中关闭端口，并提供安全加固建议。
**一、端口的作用与风险
端口是计算机与外界通信的“通道”，HTTP服务默认使用80端口，SSH服务使用22端口，若某个端口被恶意程序利用，可能导致数据泄露、服务瘫痪等后果，管理员需定期检查端口状态，关闭非必要入口。
**二、关闭端口前的准备工作
1、确认当前开放的端口
Linux系统：通过命令netstat -tuln 或ss -tuln 查看所有监听中的端口。
Windows系统：使用netstat -ano 查看端口状态，结合任务管理器定位占用端口的进程。
2、识别非必要端口
根据业务需求判断哪些端口必须保留，Web服务器需保留80（HTTP）和443（HTTPS），但关闭无关端口如23（Telnet）或135-139（NetBIOS）。
3、备份防火墙规则
修改防火墙配置前，务必备份现有规则，防止误操作导致服务中断。
Linux（iptables）：iptables-save > /etc/iptables/rules.v4
Windows（防火墙）：通过控制面板导出当前规则。
**三、分系统操作指南
1. Linux系统关闭端口的方法
方法一：通过防火墙（firewalld/ufw/iptables）
firewalld（CentOS/RHEL）
# 永久关闭指定端口（以3306为例） firewall-cmd --permanent --remove-port=3306/tcp firewall-cmd --reload
ufw（Ubuntu/Debian）
ufw deny 3306/tcp # 拒绝3306端口 ufw reload
iptables（通用）
iptables -A INPUT -p tcp --dport 3306 -j DROP service iptables save # 保存规则
方法二：终止监听端口的服务
若端口由某个服务开启，可直接停止服务：
systemctl stop mysql # 停止MySQL服务（释放3306端口） systemctl disable mysql # 禁止开机自启
2. Windows系统关闭端口的方法
方法一：通过防火墙入站规则
1、打开“控制面板” → “Windows Defender 防火墙” → “高级设置”。
2、选择“入站规则” → “新建规则” → 勾选“端口” → 输入要阻止的端口号（如3306）。
3、选择“阻止连接” → 应用规则至所有网络类型。
方法二：禁用相关服务
通过任务管理器或服务管理工具（services.msc）找到占用端口的程序，停止服务并设置为“禁用”，关闭远程注册表服务（防止135端口暴露）。
**四、关闭后的验证与监控
1、检查端口状态
关闭后再次执行netstat 或ss 命令，确认目标端口已不再监听。
2、使用端口扫描工具
通过外部工具（如Nmap）模拟攻击，验证端口是否真正关闭：
nmap -p 3306 服务器IP # 若显示“closed”或“filtered”，则操作成功
3、日志监控
启用防火墙或系统日志（如Linux的/var/log/syslog），定期分析异常连接尝试。
**五、安全加固建议
1、最小化开放原则
仅保留业务必需端口，避免“默认开放”带来的风险。
2、定期更新规则
业务调整后，及时复查端口配置，例如新部署的服务可能自动开启冗余端口。
3、结合白名单机制
在防火墙中设置IP白名单，仅允许可信IP访问管理端口（如SSH的22端口）。
**个人观点
端口管理并非一劳永逸的工作，而是需要持续关注的防御环节，尤其在云服务器环境中，配置错误或疏忽可能导致严重的安全事件，作为管理员，除了掌握技术操作，更需建立主动排查的习惯——例如每月进行一次端口扫描审计，或利用自动化工具监控端口变化，安全没有捷径，细节处的严谨才是抵御风险的核心。