防火墙如何查看端口开放状态？

在CentOS系统中，查看防火墙端口开放状态最直接有效的方式是执行`firewall-cmd --list-ports`命令，它能清晰列出当前firewalld服务已放行的所有临时端口。若需确认某特定端口（如80或3306）是否启用，可使用`firewall-cmd --query-port=端口号/tcp`获取布尔型返回结果；而`firewall-cmd --list-all`则提供更完整的视图，涵盖服务、端口、区域及富规则等配置细节。这些操作均基于firewalld动态管理机制，响应迅速且无需重启服务，符合IDC运维实践中对安全策略实时核查的规范要求，也是Red Hat官方文档明确推荐的标准排查路径。

一、确认防火墙服务运行状态是前提条件

执行`systemctl status firewalld`可准确判断服务是否处于active (running)状态。若显示inactive或failed，需先执行`systemctl start firewalld`启动服务，并通过`firewall-cmd --state`二次验证返回“running”方可继续后续操作。值得注意的是，CentOS 7/8默认启用firewalld而非iptables，因此直接调用iptables命令（如`iptables -nL`）仅反映旧式规则快照，无法代表当前生效策略，容易造成误判。

二、区分临时与永久端口配置至关重要

`firewall-cmd --list-ports`仅显示当前内存中已加载的临时开放端口；而`firewall-cmd --list-ports --permanent`则读取/etc/firewalld/zones/public.xml等持久化配置文件中的预设项。二者结果不一致时，说明存在未重载的变更——此时必须执行`firewall-cmd --reload`使永久规则生效，否则重启系统后临时端口将丢失，永久端口才得以保留。该机制被Red Hat Enterprise Linux官方安全指南列为合规配置管理的关键环节。

三、精准验证单个端口需注意协议类型与语法规范

查询命令必须严格指定协议，例如`firewall-cmd --query-port=80/tcp`与`firewall-cmd --query-port=80/udp`结果可能完全不同。实测表明，若省略“/tcp”或误写为“/TCP”，命令将返回错误而非false，导致自动化脚本逻辑中断。此外，该命令仅检测firewalld层面的放行状态，不涉及SELinux布尔值或应用层监听状态，如需完整闭环验证，应配合`ss -tuln | grep :80`确认进程实际绑定情况。

四、辅助手段可交叉印证但不可替代主命令

使用`telnet IP地址 端口号`或`nc -zv IP地址 端口号`可测试端口连通性，但结果受网络路径、目标主机防火墙及服务进程三重影响；`netstat -tuln`或`ss -tuln`仅反映本地监听状态，无法体现firewalld的过滤动作。因此，在标准化运维流程中，firewall-cmd系列命令仍是唯一权威依据，其输出直采firewalld D-Bus接口数据，具备毫秒级实时性与配置一致性。

综上，掌握firewalld端口状态核查的核心在于理解其动态配置模型，严格遵循“查状态→查端口→分临时永久→重载生效”的技术闭环。