服务器开放哪些端口取决于其具体的服务角色、安全策略以及网络环境。选择端口时，应遵循最小权限原则和安全性优先的原则，即只开放必要的服务端口，并尽可能使用非标准端口或结合防火墙、VPN等安全措施来降低风险。
一、 常见服务与默认端口
以下是各类服务器角色通常需要开放的核心服务端口。这些端口是国际互联网编号分配机构（IANA）注册的标准端口。
| 服务类型 | 端口号 | 协议 | 说明 |
|---|---|---|---|
| Web 服务 (HTTP) | 80 | TCP | 提供未加密的网页访问。 |
| Web 服务 (HTTPS) | 443 | TCP | 提供 TLS/SSL 加密的网页访问，是现代网站的必备端口。 |
| SSH (安全外壳) | 22 | TCP | 用于远程安全登录和管理服务器。强烈建议修改为非标准端口或仅允许密钥认证。 |
| FTP (文件传输) | 20, 21 | TCP | 用于文件传输。建议使用更安全的 SFTP（基于 SSH）或 FTPS 替代。 |
| SMTP (邮件发送) | 25 | TCP | 用于邮件服务器之间发送邮件。出于反垃圾邮件考虑，许多云厂商默认封锁此端口。 |
| DNS (域名解析) | 53 | TCP/UDP | 提供域名解析服务。 |
| 远程桌面 (RDP) | 3389 | TCP | 用于 Windows 服务器的图形化远程管理。务必将其置于 VPN 之后或修改默认端口。 |
| 数据库 (MySQL) | 3306 | TCP | MySQL 数据库默认端口。绝对不应向公网开放，应通过内网或 SSH 隧道访问。 |
| 数据库 (PostgreSQL) | 5432 | TCP | PostgreSQL 数据库默认端口。安全建议同 MySQL。 |
二、 端口选择的安全建议与最佳实践
1. 仅开放必要的端口：彻底关闭任何不需要的服务和端口，减少攻击面。定期使用端口扫描工具（如 `nmap`）自检。
2. 使用非标准端口：对于管理类服务（如 SSH、RDP），修改其默认端口（如将 SSH 的 22 改为 49222）可以有效减少自动化脚本的攻击。
3. 结合防火墙策略：使用硬件防火墙或系统自带防火墙（如 `iptables`、`firewalld`、`Windows Firewall`）限制端口的访问来源。例如，将数据库端口限制为仅允许特定应用服务器 IP 访问。
4. 使用 VPN 或跳板机：所有管理端口（SSH、RDP）都不应直接暴露于公网。最佳做法是通过 VPN 接入内网后再访问，或通过一台安全的堡垒机（Bastion Host）进行跳转。
5. 加密通信：优先使用加密协议，如用 HTTPS 替代 HTTP，用 SFTP 替代 FTP。
三、 根据服务器角色推荐开放的端口
• 面向公众的 Web 服务器：
必须开放：80 (HTTP), 443 (HTTPS)。
可选开放：如网站需要，可能开放 25 (SMTP) 或 465/587 (加密 SMTP) 以发送邮件。
安全注意：应关闭所有其他端口。SSH 端口应修改并限制访问源 IP。
• 数据库服务器（内网）：
必须开放：3306 (MySQL) 或 5432 (PostgreSQL) 等。
安全注意：此类端口绝对禁止向公网开放。应通过防火墙策略严格限制为仅允许前方的 Web/应用服务器 IP 访问。
• 游戏服务器（如 Minecraft）：
必须开放：25565 (TCP/UDP)（默认端口）。同样可以考虑修改为其他端口以规避简单扫描。
总之，不存在一个“最好”的固定答案。最专业的做法是：根据你的具体服务需求，遵循安全原则，在防火墙中精细地配置允许策略，只放行最少的必要端口。
查看详情
查看详情
