在CentOS系统中，管理端口是确保服务器安全性和稳定性的重要任务之一，有时，我们需要关闭某些不必要的端口以减少潜在的安全风险，或者释放被占用的资源，本文将详细介绍如何在CentOS系统中关闭指定端口的多种方法，包括使用防火墙工具、终止进程以及配置服务,帮助您高效完成端口管理任务。
使用防火墙工具关闭端口
CentOS系统默认使用firewalld作为防火墙管理工具，它提供了灵活的端口控制功能，通过firewalld，您可以轻松添加规则来阻止特定端口的访问，从而实现端口的“关闭”效果，确保firewalld服务正在运行，可以使用systemctl status firewalld命令检查状态，如果未运行，可通过systemctl start firewalld启动并设置为开机自启systemctl enable firewalld。
要永久关闭某个端口，例如8080端口，需要先确定该端口使用的协议（TCP或UDP），假设是TCP端口，执行以下命令：firewall-cmd --permanent --remove-port=8080/tcp，这里的--permanent参数表示规则将持久化，重启后依然有效，执行后需要重新加载防火墙配置使规则生效，命令为firewall-cmd --reload，如果需要临时关闭端口（不重启后生效），可省略--permanent参数。
对于更复杂的场景，如关闭特定IP或网段的端口访问，可以使用--rich-rule参数，阻止192.168.1.100访问80端口：firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="192.168.1.100" port protocol="tcp" port="80" reject'，完成后同样需要重新加载防火墙，规则添加后，可通过firewall-cmd --list-ports或firewall-cmd --list-rich-rules查看当前已配置的规则,确保操作正确。
使用iptables关闭端口（适用于旧版CentOS）
对于仍在使用CentOS 7或更早版本且未启用firewalld的系统，iptables是传统的防火墙工具，通过iptables，您可以直接添加DROP或REJECT规则来阻止端口流量，检查iptables服务状态：systemctl status iptables，若未启动则执行systemctl start iptables并设置开机自启。
要关闭TCP端口8080，执行以下命令：iptables -A INPUT -p tcp --dport 8080 -j REJECT，其中-A INPUT表示添加到INPUT链（控制进入服务器的数据包），-p tcp指定协议为TCP，--dport 8080为目标端口，-j REJECT表示拒绝连接，若要永久保存规则，需安装iptables服务并执行service iptables save，否则重启后规则会丢失，对于UDP端口，只需将-p tcp改为-p udp。
iptables还支持更精细的控制，例如仅阻止特定IP的访问：iptables -A INPUT -s 192.168.1.100 -p tcp --dport 80 -j DROP，此规则将丢弃来自192.168.1.100对80端口的请求，保存规则后，可通过iptables -L -n -v查看当前规则列表，其中-n以数字形式显示IP和端口，-v显示详细信息,便于调试。
终止占用端口的进程
有时端口被占用是因为相关进程正在运行，此时直接关闭端口可能导致服务异常，正确的做法是先找到占用端口的进程，再决定是否终止它，使用netstat或ss命令可以快速定位进程，查看8080端口的占用情况：netstat -tulnp | grep 8080或ss -tulnp | grep 8080，命令输出中会显示进程ID（PID）和进程名，如nginx: master process。
确认进程后，可根据需求终止它，若为临时测试，可使用kill PID命令发送SIGTERM信号，允许进程正常退出；若进程无响应，可使用kill -9 PID强制终止，若PID为1234，执行kill 1234，终止后，再次检查端口是否释放：netstat -tulnp | grep 8080，若无输出则表示端口已空闲，对于系统关键服务，建议先停止服务而非直接终止进程，如systemctl stop nginx,避免影响其他功能。
通过配置服务禁用端口
某些端口由系统服务自动开启，要彻底关闭这类端口，需修改服务配置或禁用服务，Apache默认监听80端口，可通过编辑配置文件/etc/httpd/conf/httpd.conf，将Listen 80改为Listen 127.0.0.1:80或注释掉该行，限制监听范围或关闭监听，修改后保存文件并重启Apache服务：systemctl restart httpd。
对于开机自启的服务，可通过systemctl list-unit-files | grep enabled查看所有已启用服务，若确定某服务无需运行，执行systemctl disable 服务名，如systemctl disable httpd，并停止当前服务systemctl stop httpd，使用chkconfig命令（适用于CentOS 6及更早版本）也可管理服务自启状态：chkconfig --level 35 服务名 off,表示在运行级别3和5下禁用服务。
验证端口关闭状态
完成端口关闭操作后，需验证端口是否真正生效，使用telnet或nc（netcat）工具进行测试，测试本地8080端口：telnet 127.0.0.1 8080，若连接被拒绝或超时，则表示端口已关闭；若成功连接，则需检查防火墙规则或进程是否正确处理，对于远程服务器，可在本地执行telnet 服务器IP 端口，或使用nmap扫描：nmap -p 8080 服务器IP，若结果显示filtered或closed,则规则生效。
结合firewall-cmd --list-all或iptables -L -n查看防火墙规则，确保未遗漏允许该端口的规则，对于服务进程，确认其配置文件中未绑定目标端口，或服务已完全停止，通过多维度验证,可避免因规则冲突或配置错误导致端口未真正关闭。
相关问答FAQs
Q1: 关闭端口后如何重新开放？
A1: 若使用firewalld，执行添加端口的命令即可，例如firewall-cmd --permanent --add-port=8080/tcp，然后firewall-cmd --reload，对于iptables，使用iptables -A INPUT -p tcp --dport 8080 -j ACCEPT并保存规则，若因进程占用导致端口未开放,需先启动相关服务或调整其配置。
Q2: 如何查看CentOS系统所有已开放的端口？
A2: 使用firewall-cmd --list-ports查看firewalld管理的端口，或iptables -L -n --line-numbers查看iptables规则中的端口。ss -tulnp或netstat -tulnp可显示所有监听和连接的端口及其对应进程,适用于全面检查系统端口状态。