centos7.5mini中Firewalld端口不通解决办法及想法

1、问题

　　接到客户消息，外网访问内网虚拟主机的部分端口不通。

　　端口：580、610

---

 

2、思路

　　根据网络架构找出存在影响端口连通性的缘由

　　1.硬件防火墙

• NAT策略中服务端口的开启
• 访问控制列表中对端口的放行/阻断状态

　　2.系统防火墙

• 防火墙必须添加相应端口
• 网卡名称必须添加相应区域
• 端口必须为监听状态

---

 

3、处理过程

　　1.远程登陆硬件防火墙查看策略信息，发现相应端口是开通状态

　　2.内网环境中，telnet目标端口，端口不通；

　　因为测试路径中，没有能够影响到端口连通性的设备及策略，随即将问题定位在目标主机系统防火墙上

 telnet [ip] port

 　　Centos7.0版本以上默认安装firewall

　　3.查看firewall-cmd的运行状态

firewall-cmd --state 

 

　　4.将默认区域设置为trusted

firewall-cmd --get-default-zone=trusted-permanent

　　5.将相应端口添加到trusted

firewall-cmd --permanent --zone=trusted --add-port=580/tcp

　　将端口成功添加至区域后测试端口发现仍然不通，多是网卡没有添加到相应区域

　　6.查看网卡文件并将网卡添加到trusted

firewall-cmd --permanent --zone=trusted --change-interface=eth0　　

　　经测试后仍然不通

　　7.使用ip addr 查询网卡信息，发现网卡名称与配置文件不一样

ip addr

　　8.将br0与eth0同时添加到trusted区域中

　　(注意：若是该网卡已经存在一个区域时，必须添加后将firewall stop掉，再start才能够成功更改，否则即便从新加载firewall也没法生效)

　　经测试仍然不通

　　查询资料发现涉及到linux系统的端口连通性取决于3个方面

• 防火墙必须添加相应端口
• 网卡名称必须添加到相应区域
• 端口必须为监听状态

　　9.使用netstat -tlunp之后发现580并无被监听

　　(TCP6意思为监听ipv6地址)

netstat -tlunp

　　10.联系客户调试软件，将软件监听端口改成580后测试，telnet端口通，问题解决

---

 

四.总结：

　　1.在虚拟化服务器上ip addr中显示的网卡名称为现使用的网卡名称

　　2.了解影响端口的3个前置条件。

　　3.监听为被动的，没法主动添加监听端口