Linux端口入门指南：查看、排查占用与开放端口 (ss/lsof/ufw)

在我们的服务器世界里，我们几乎天天都在和“端口”这个词打交道。“把SSH端口从22改成23456”、“防火墙要放行80和443端口”、“我的应用正在监听3000端口”……我们熟练地操作着这些神秘的数字，仿佛它们生来就理所当然。

但你有没有在某个瞬间，停下来问自己：到底，什么是“端口”？

它看不见，摸不着，像一个存在于数字世界的“幽灵”，却是我们所有网络服务得以正常运转的命脉。如果你不能真正理解它，那么你在排查网络问题、配置防火墙、或者部署新应用时，内心深处，总会有一丝不确定和恐慌。

今天，我们就来把“端口”这个“幽灵”，从网络协议的迷雾中，彻底拽到阳光下，让你不仅能“看”到它，还能“抓”住它，最终，成为它的“主人”。

---

“端口”的终极比喻：服务器是一栋“公寓大楼”

为了彻底搞懂端口，请先在你的脑海里，建立这样一个模型：

• 你的服务器： 就是一栋宏伟的公寓大楼。
• 服务器的公网IP地址： 就是这栋大楼坐落在现实世界里的唯一街道地址，比如“北京市朝阳区互联网路1号”。全世界的人，都可以通过这个地址，找到这栋大楼。
• 你运行在服务器上的各种服务（Nginx, MySQL, SSHD）： 它们就是住在这栋大楼里，身份各异的**“住户”**。
• 数据包： 就像一个个的**“快递”或“访客”**。

好了，现在问题来了。一个“快递员”（数据包），拿着一个写着“北京市朝阳区互联网路1号”的包裹，来到了这栋大楼门口。这栋楼里住了成百上千的“住户”，他该把这个包裹，送给谁呢？是送给一楼大堂负责接待的Nginx先生，还是送给地下室里管理档案的MySQL先生？

他不知道。

这时，端口 (Port) 就闪亮登场了。

端口，就是这栋大楼里，每一个房间唯一的、不可重复的“房间号码”。

现在，快递员手里的包裹上，地址变得更完整了：“北京市朝阳区互联网路1号 80号房间”。好了，目标明确，快递员立刻就能把包裹，精准地送到Nginx先生的手中。

所以，你现在明白了吗？IP地址，解决了“找到哪栋楼”的问题；而端口，则解决了“找到楼里哪个房间（服务）”的问题。 两者结合，才构成了一个完整的网络通信地址。

“房间号码”的规划：端口的分类

这栋大楼的房间号码，是从0到65535。但这些号码，不是随便乱用的，它们被分成了三个“地段”：

1. “黄金旺铺” (0-1023)：知名端口 (Well-Known Ports)
   • 这些是“黄金地段”的房间，通常被一些世界闻名的、“官方指定”的服务所占用。比如：
     • 80 房间： HTTP服务（普通网站）的专用大堂。
     • 443 房间： HTTPS服务（加密网站）的VIP接待室。
     • 22 房间： SSH远程管理服务的“物业办公室”。
     • 3306 房间： MySQL数据库先生的“档案室”。
   • 这些房间号，是全球统一的标准。
2. “品牌专区” (1024-49151)：注册端口 (Registered Ports)
   • 这些房间，被分配给了一些比较知名的、但非官方核心的应用。比如很多游戏、特定的数据库软件，都会在这里，选择一个房间号，作为自己的“品牌专卖店”。
3. “临时客房” (49151-65535)：动态/私有端口 (Dynamic/Private Ports)
   • 这些是大量的、可供任何普通程序临时使用的“客房”。比如你的浏览器在访问一个网站时，就会在你的电脑上，随机开一个这个范围内的“临时房间”，用来接收网站发回来的数据。

第一招：查看“入住登记表”—— 如何列出所有正在被占用的端口

好了，理论说完了。我们现在就化身“物业管理员”，去看看我们这栋大楼里，到底哪些房间已经有“住户”了，它们在干什么？

我们需要一个能查看“入住登记表”的命令。在现代Linux系统里，最强大的工具是ss（Socket Statistics的缩写）。

Bash

sudo ss -tuln

别怕，我们来拆解一下这行咒语：

• sudo: “以管理员身份运行”，因为查看网络信息需要更高权限。
• ss: 我们的主命令。
• -t: 显示所有TCP连接的房间。
• -u: 显示所有UDP连接的房间。
• -l: 只显示那些正在“监听”(Listen)的房间。所谓监听，就是指这个房间里的“住户”，正竖起耳朵，随时准备接待“访客”。
• -n: 以数字形式显示房间号，而不是用http这样的服务名，更直观。

执行后，你可能会看到类似这样的“登记表”：

State Recv-Q Send-Q Local Address:Port Peer Address:Port
LISTEN 0 128 0.0.0.0:22 0.0.0.0:*
LISTEN 0 511 0.0.0.0:80 0.0.0.0:*
LISTEN 0 511 [::]:80 [::]:*
LISTEN 0 70 127.0.0.1:3306 0.0.0.0:*

如何解读这份“天书”？ 我们只关心State是LISTEN的行，以及Local Address:Port这一列。

• 0.0.0.0:22：
  • :22 很好理解，就是22号房间。
  • 0.0.0.0 是一个特殊的地址，你可以把它理解为“所有入口”。它意味着，住在22号房的“SSHD物业管理员”，愿意接待所有从“正门、后门、甚至窗户”（所有公网和内网IP）来的访客。
• 127.0.0.1:3306：
  • :3306 是3306号房间。
  • 127.0.0.1，是服务器的“私人内部电话”，学名叫“本地回环地址”。它意味着，住在3306号房的“MySQL档案管理员”，把自己的房门，只开向了大楼内部。只有大楼里的其他“住户”（比如跑在同一台服务器上的WordPress应用），才能和它“通话”。任何来自大楼外部的访客，都找不到它的门。这是一种极佳的安全实践！

第二招：精准定位“神秘住户”—— 到底是谁占用了这个端口？

有时候，ss命令告诉我们，“8080号房”已经有人住了。但我们想启动一个新应用，也想用8080号房，结果系统报错：“Address already in use”（地址已被占用）。

ss只能告诉我们“有人”，但没告诉我们“是谁”。这时，我们需要一个“私家侦探”出场，去敲开那个房门，看看里面到底住着谁。这个侦探，就是lsof (List Open Files)命令。

Bash

sudo lsof -i :8080

• -i：代表查询网络连接。
• :8080：精准地告诉侦探，我们就查“8080号房”。

执行后，侦探会给你一份极其详细的报告：

COMMAND PID USER FD TYPE DEVICE SIZE/OFF NODE NAME
nginx 1234 root 6u IPv4 12345 0t0 TCP *:8080 (LISTEN)

看到了吗？COMMAND这一列，清清楚楚地告诉你，住在8080号房的，是nginx这位先生，他的“身份证号”(PID)是1234。现在，元凶找到了，你可以决定是把他“请走”（sudo kill 1234），还是给你的新应用换个房间。

第三招：操控“大楼门禁”—— 防火墙的端口开放与关闭

好了，现在我们知道了，MySQL先生住在3306号房，并且只对内办公。Nginx先生住在80号房，对外迎客。

但是，别忘了，我们整栋大楼的门口，还站着一个终极“保安队长”——防火墙 (UFW)。

就算Nginx先生在他的80号房里，24小时开着门准备迎客。如果“保安队长”UFW不放行，那么任何访客，连大楼的正门都进不来，更别提找到80号房了。

所以，对端口的操作，分为两层：

1. 服务本身是否在监听这个端口？ (这是“房间门”是否打开)
2. 防火墙是否允许外部访问这个端口？ (这是“大楼正门”是否对这个房间的访客开放)

我们用ufw命令，来给“保安队长”下达指令。

开放80端口（允许访客找Nginx）：

Bash

sudo ufw allow 80/tcp

关闭3000端口（禁止访客找Gitea）：

Bash

sudo ufw deny 3000

查看保安的“规则手册”：

Bash

sudo ufw status

你，已是“端口的掌控者”

现在，“端口”这个词，在你眼中，应该不再是一个神秘、抽象的数字了。

它，就是你那座数字大厦里，每一个服务清晰、唯一的“门牌号”。

你已经学会了如何像一个物业经理一样，去查看大楼的“入住登记表”(ss)，如何像一个侦探，通过门牌号找到具体的“神秘住户”(lsof)，以及，如何像一个总指挥，去管理整栋大厦的“中央门禁系统”(ufw)。

你，已经从一个只会使用房间的“访客”，晋升为了一个懂得如何规划、管理、并保卫整栋大厦的“物业总监”。这份对服务器底层网络逻辑的清晰认知，将是你未来排查所有网络“疑难杂症”时，最强大的武器。