服务器上每个开着的端口，就等于你家里开着的一扇门，如果门没锁好，小偷就能进来。很多新手运维嫌麻烦直接把firewalld或者安全组关了，所有端口全对公网开放，这等于连门都不装，被黑是迟早的事。
其实一台正常的Web服务器，根本不需要开几个端口。

必须要开的端口，没几个

如果你只跑网站，下面这几个端口开了就够了：

1. 80端口：HTTP访问用，必须开。
2. 443端口：HTTPS访问用，现在基本都开。
3. 22端口：SSH远程登录用，这个必须开，但一定要做限制，别让所有人都能访问。
   其他所有端口，如果你不知道是干嘛的，一律别开。
   比如：

• 3306（MySQL）：别对公网开！数据库只需要本机访问就行，要远程管理用SSH隧道连，别直接把3306暴露在公网上，被爆破了数据库就没了。
• 6379（Redis）：绝对别开公网！Redis默认没密码，开了公网分分钟被删库勒索。
• 9000（PHP-FPM）：只需要Nginx本机访问，不用开公网。
• 8080、8888这类面板端口：不要常开，需要用的时候临时开，用完就关，或者限制只有你自己的IP能访问。

用防火墙限制端口访问，最简单的安全措施

现在云服务器都有安全组，比系统防火墙配置更简单，优先在云控制台的安全组里配置：

1. 默认入站规则设为“全部拒绝”，只允许你要开放的端口；出站规则默认全通就行，不影响服务器对外访问。
2. 80、443端口设为允许所有IP访问，因为用户要访问网站。
3. 22端口（SSH）最关键：别允许所有IP访问，只允许你自己常用的IP段访问，比如你家里的固定IP、公司IP。如果是动态IP，用VPN或者密钥登录也行，千万别让所有人都能连22端口扫密码。
4. 数据库、Redis这些服务，不仅防火墙不开，配置文件里还要把监听地址改成127.0.0.1，只允许本机连接，从根源上避免暴露。
   举个简单的firewalld配置例子，用系统防火墙的话这么敲：

# 启动防火墙
systemctl start firewalld
systemctl enable firewalld
# 放通80和443，所有IP可访问
firewall-cmd --add-service=http --permanent
firewall-cmd --add-service=https --permanent
# 放通22端口，但只允许你的IP访问，把x.x.x.x换成你自己的IP
firewall-cmd --add-rich-rule='rule family="ipv4" source address="x.x.x.x/32" port port="22" protocol="tcp" accept' --permanent
# 重载配置生效
firewall-cmd --reload

这样配置完，除了80、443和你自己IP能连22，其他所有端口全是关的，那些扫端口的脚本连不上你的端口，自然也没法爆破、没法利用漏洞攻击。
别嫌麻烦，配置一次之后一劳永逸，比你装一堆安全软件有用多了。