必须为新增端口单独创建入站规则，仅添加apache程序例外无效；因windows防火墙默认只放行80端口，对8001等新端口会静默拦截，需在高级设置中新建tcp端口规则并勾选专用/公用配置文件。
Windows防火墙必须放行新增端口，不能只加Apache程序例外
很多用户以为给httpd.exe加了防火墙“允许程序”规则就万事大吉，结果http://localhost:8001在本机能访问，局域网其他设备却连不上——根本原因是Windows防火墙默认只放行Listen 80对应的入站连接，对Listen 8001等新端口完全拦截。
正确做法是为每个新增端口单独建一条「入站规则」，而不是依赖程序级例外。原因有三：
-
httpd.exe可能以不同用户权限运行，导致规则不生效 - 多端口场景下，不同端口常对应不同项目目录或权限策略，混用程序规则反而难排查
- 部分Windows版本（如Win11 22H2后）对程序例外的匹配逻辑更严格，容易漏判
操作步骤：
- 打开「控制面板 > Windows Defender 防火墙 > 高级设置」
- 左侧选「入站规则」→ 右侧点「新建规则」
- 类型选「端口」→ 协议选「TCP」→ 特定本地端口填
8001（或你配置的其他端口） - 操作选「允许连接」→ 配置文件勾选「专用」和「公用」（局域网通常走专用网络）
- 名称写清楚，比如
Allow Apache port 8001
Linux（CentOS 7/8）用firewalld开放端口要带--permanent参数
在CentOS上用firewall-cmd --add-port=8001/tcp临时加端口，重启httpd服务后能通，但系统重启就失效——这是最常被忽略的坑。
firewalld的规则分「运行时」和「永久」两套，XAMPP启动依赖的是永久规则。没加--permanent，等于只贴了张便签，没改配置文件。
必须执行：
firewall-cmd --permanent --add-port=8001/tcp firewall-cmd --reload
验证是否生效：
firewall-cmd --list-ports
如果输出里没有8001/tcp，说明--permanent漏了。别信systemctl restart firewalld能补救——它只重载当前运行时规则，不读取磁盘配置。
Mac防火墙默认关闭，但系统自带「防火墙」开关可能误开
macOS系统偏好设置里的「防火墙」默认是关闭的，但一旦手动开启过，它会按「应用程序」维度拦截，且不区分端口。哪怕你已配好Listen 0.0.0.0:8001，只要httpd没被明确加入白名单，请求就会被静默丢弃，连Connection refused都看不到。
检查并修复：
- 「系统设置 > 网络 > 防火墙」确认开关是关的；如果开着，点「选项」→ 把
httpd（路径通常是/Applications/XAMPP/xamppfiles/bin/httpd）拖进去并勾选「允许传入连接」 - 更稳妥的做法是关掉系统防火墙，改用
pf或第三方工具管理，因为macOS防火墙对Apache子进程支持不稳定
注意：ufw或iptables在macOS上无效，那是Linux工具。
端口冲突和SELinux干扰常被当成防火墙问题
当http://192.168.x.x:8001打不开，第一反应是查防火墙，但实际可能是：
- 端口被其他进程占了：用
netstat -ano | findstr :8001（Windows）或lsof -i :8001（macOS/Linux）确认 - SELinux阻止了Apache绑定非标准端口（仅CentOS/RHEL）：临时测试可执行
setsebool -P httpd_can_network_bind 1，而非直接关SELinux - 路由器NAT或ISP封锁了非标端口（如8001、8080），尤其在校园网或企业网络中，建议优先试
8080或8000这类常见开发端口
真正难调试的，往往不是防火墙本身，而是它掩盖了底层绑定失败——先确保apachectl configtest通过，再查防火墙。
