在linux中通过firewalld开放端口需兼顾运行时与永久配置，推荐优先使用服务名而非端口号，并结合源ip限制的富规则增强安全性，最后务必验证规则生效与端口可达性。
如果您需要在Linux系统中通过Firewalld防火墙允许外部访问某个特定端口，则必须确保该端口在运行时和永久配置中均被正确放行，同时遵循最小权限原则。以下是符合安全准则的多种配置方法：
一、使用firewall-cmd临时开放端口
此方法仅在当前运行时生效，重启firewalld服务或系统后配置将丢失，适用于测试或紧急临时放行场景，避免因误配置导致长期暴露风险。
1、确认firewalld服务正在运行：sudo systemctl status firewalld
2、执行临时开放命令（以开放8080端口为例）：sudo firewall-cmd --add-port=8080/tcp
3、验证端口是否已加入运行时规则：sudo firewall-cmd --list-ports
二、使用firewall-cmd永久开放端口
永久配置会写入firewalld的持久化规则文件，确保系统重启后策略依然有效；但必须同步重载配置才能使新规则生效，且需严格校验目标端口是否确属业务必需。
1、执行永久添加端口命令：sudo firewall-cmd --permanent --add-port=8080/tcp
2、重新加载firewalld配置以激活永久规则：sudo firewall-cmd --reload
3、检查永久规则中是否包含该端口：sudo firewall-cmd --permanent --list-ports
三、通过添加服务方式开放端口
Firewalld内置了常用服务定义（如http、https、ssh），使用服务名而非端口号可提升可读性与安全性，避免硬编码端口带来的维护风险；若需开放非标准端口，应先创建自定义服务文件。
1、查看当前区域启用的服务列表：sudo firewall-cmd --list-services
2、临时启用预定义服务（如允许HTTPS）：sudo firewall-cmd --add-service=https
3、永久启用并重载：sudo firewall-cmd --permanent --add-service=https && sudo firewall-cmd --reload
四、配置富规则限制源IP范围
为增强安全性，不应无差别开放端口，而应结合source地址限制，仅允许可信网段访问指定端口，符合纵深防御原则。
1、添加带源IP限制的临时富规则（例如仅允许192.168.10.0/24访问8080）：sudo firewall-cmd --add-rich-rule='rule family="ipv4" source address="192.168.10.0/24" port port="8080" protocol="tcp" accept'
2、添加对应永久富规则：sudo firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="192.168.10.0/24" port port="8080" protocol="tcp" accept'
3、重载配置使永久规则生效：sudo firewall-cmd --reload
五、验证端口实际可达性与规则一致性
配置完成后必须独立验证网络层连通性与firewalld规则是否真正匹配，防止因区域错配、服务未启用或SELinux干扰导致策略失效。
1、确认当前默认区域及活跃接口：sudo firewall-cmd --get-default-zone && sudo firewall-cmd --get-active-zones
2、检查该区域下所有开放端口和服务：sudo firewall-cmd --zone=public --list-all
3、从外部主机执行端口探测（需提前确保目标主机iptables/nftables未拦截）：nc -zv 目标IP 8080
