CentOS7 firewalld开放80、443端口永久生效命令

前言

CentOS7 默认用 firewalld 管理防火墙，新装系统后外网访问 80、443 经常被拒，浏览器打不开网站。很多人只在临时会话里加规则，重启或 reload 后端口又被关。本篇给出永久开放 80、443 的完整命令和验证方法。

一、先确认防火墙状态

systemctl status firewalld
firewall-cmd --state

返回 running 表示防火墙在运行；如果是 not running，先启动并设为开机自启：

systemctl start firewalld
systemctl enable firewalld

二、永久开放80、443端口

关键是 --permanent 参数，不加它规则只在当前运行时生效，reload 或重启就丢失。

# 永久开放HTTP 80
firewall-cmd --permanent --add-port=80/tcp
# 永久开放HTTPS 443
firewall-cmd --permanent --add-port=443/tcp
# 重载使永久规则立即生效
firewall-cmd --reload

也可以用服务名方式（firewalld 自带 http/https 服务定义）：

firewall-cmd --permanent --add-service=http
firewall-cmd --permanent --add-service=https
firewall-cmd --reload

三、查看已开放端口，确认生效

# 查看永久规则里已开放的端口
firewall-cmd --permanent --list-ports
# 查看当前运行时生效的服务
firewall-cmd --list-services

能看到 80/tcp 443/tcp 或 http https 即成功。

四、开放单个/多个端口常用命令汇总

# 永久开放单个端口
firewall-cmd --permanent --add-port=8080/tcp
# 永久移除某个端口
firewall-cmd --permanent --remove-port=8080/tcp
# 开放一段端口范围（如30000-30100）
firewall-cmd --permanent --add-port=30000-30100/tcp
# 开放UDP（DNS、视频流用）
firewall-cmd --permanent --add-port=53/udp

每加完一条都要 firewall-cmd --reload。

五、常见坑

1. 加了规则但不 reload：运行时看不到，外网照样访问不通；
2. 忘记 --permanent：重启服务器后规则消失，以为没生效；
3. 协议选错：Web 是 tcp，写成 udp 无效；
4. 云服务器安全组没放行：系统防火墙开了，云厂商控制台安全组还拦着，两边都要开；
5. 服务本身没监听：ss -tlnp 确认 nginx 在 80/443 上监听，否则放了端口也连不上。

总结

记住三步：--add-port=端口/tcp --permanent → --reload → --list-ports 验证。系统防火墙和云安全组同时放行，网站才能从外网访问。

遇到问题加QQ23979811 协助处理