解决服务器端口不通的方法竟是如此诡异?

[kerb15]

背景

腾讯云服务器，安全组已经确认放通了所有端口，并且检测端口全部通过。

问题

在服务器上用 nc -l 9091 命令，监听了 9091 这个端口，本地机器用 telnet ip 9091 去访问时，没有通。

解决方法

1. 打开防火墙 systemctl start firewalld.service

2. 将 9091 端口加入白名单 firewall-cmd --zone=public --add-port=9091/tcp --permanent （这一步执行完后 telnet 依旧不通）

3. 关闭防火墙 systemctl stop firewalld.service

4. telnet 测试成功连通

这是什么原理？？？有懂运维的大佬知道吗。

[iBugOne]

firewalld 也是个前端，后端是 linux netfilter (iptables)，你 stop 的那一步把所有的防火墙规则都清空了，包括 start 之前就存在的规则，iptables 默认又是 ACCEPT ，自然就通了

[kerb15]

@iBugOne 所以事实上我只需要先打开 firewalld 再关闭就行了。但我从来没有去修改 iptables 的规则，为什么会被拦截呢。像这样的情况，我每隔一段时间都会遇到，以至于我认为每次都要用这三步去改。难道腾讯云的 iptables 会定期变化吗

[adoal]

不通的时候你没有检查一下当前的 netfilter 规则状态吗？

[yejinmo]

firewall-cmd --reload

[kerb15]

@adoal 网络小白，我检查的是 firewall ，没有意识到去看 netfilter

[peterpei]

也许需要 reload?

[kaixuan1901]

reload 正解。

加了 --permanent 参数，就需要 reload 。如果不加这个参数会立即生效，但是不会写入配置。