应直接启用 firewalld 的 http 和 https 预定义服务而非手动开放 80/443 端口，因其更安全、兼容协议细节（如 alpn/sni），且与 selinux 协同良好；需确认 firewalld 运行状态及服务定义存在，再永久添加并重载规则。
直接开 http 和 https 服务就行，别去手动开 80 和 443 端口——firewalld 的 service 是预定义规则，比裸端口更安全、更可靠，也避免因协议细节（比如 ALPN、SNI）导致的 HTTPS 握手失败。
怎么确认 firewalld 已运行且支持 http/https 服务
先别急着加规则，先看防火墙状态和内置服务是否就绪：
-
systemctl status firewalld—— 必须是active (running)，否则所有firewall-cmd命令都无效 -
firewall-cmd --query-service http和firewall-cmd --query-service https—— 应返回yes；若返回no，说明系统没加载对应服务定义（极少见，一般只发生在最小化安装或自定义镜像中） -
firewall-cmd --list-services—— 查看当前 zone（默认public）已启用的服务，初始通常为空
永久开放 HTTP 和 HTTPS 服务（推荐做法）
用 --permanent 是关键，不加它重启后规则就丢了。顺序无关，但建议先 http 后 https，符合习惯：
firewall-cmd --add-service=http --permanentfirewall-cmd --add-service=https --permanent-
firewall-cmd --reload—— 注意：不是systemctl restart firewalld，--reload更轻量，且能保留运行时连接状态
验证：执行 firewall-cmd --list-all，输出里 services: 行应包含 http https，而不是 ports: 下出现 80/tcp 或 443/tcp。
CentOS Linux 7.9.2009
下载
CentOS Linux 7.9.2009是传统CentOS Linux 7的最后主要版本，也是很多企业历史服务器中仍可能遇到的系统版本。它以稳定、兼容RHEL 7生态、文档丰富和软件支持广泛著称，曾长期用于Web服务、数据库、虚拟化节点和企业内部业务系统。不过CentOS Linux 7已于2024年6月30日停止维护，现在继续使用会面临安全补丁缺失风险。该版本更适合旧业务迁移、历史环境恢复或离
为什么不要用 --add-port=80/tcp --permanent
看似等价，实则埋坑：
- HTTPS 流量可能被拦截在 TLS 握手前（比如某些中间设备或旧客户端），仅放行端口不等于放行协议语义，
httpsservice 内置了对 TLS 握手包的识别逻辑 - SELinux + firewalld 组合下，裸端口开放有时会触发额外策略限制，而
http/httpsservice 是 SELinux-aware 的 - 后续若需审计或迁移（比如换用 nftables），service 名称比端口号更语义清晰、可维护性更强
常见错误现象与排查点
开了服务但浏览器仍无法访问？重点查这三处：
- Web 服务本身没起来：
systemctl status httpd或systemctl status nginx，确保是active (running) - 证书路径或权限问题（HTTPS 特有）：Nginx/Apache 配置里
ssl_certificate和ssl_certificate_key指向的文件，必须让nginx或apache用户可读（常见错误是 root 上传后忘了chown或chmod） - 云服务器额外防火墙：阿里云/腾讯云的安全组必须同步放行
80和443，firewalld 只管系统层，不管云平台层
最易忽略的是：firewalld 规则生效后，curl -I http://localhost 能通不代表外网能通——务必从另一台机器 curl -v http://your-server-ip 实测，绕过本地回环干扰。
