firewall-cmd --list-ports仅显示防火墙放行端口，非真实监听状态；真实监听端口须用ss -tuln（首选）、netstat -tuln或lsof -i -p -n | grep listen查看内核socket表，其中listen状态且地址为:或0.0.0.0:*才表示服务已开启。
firewall-cmd --list-ports 只显示防火墙放行的端口，不是真实监听端口
很多人用 firewall-cmd --list-ports 看到空结果，就以为没开任何端口，其实这只是防火墙白名单里允许通行的端口，和进程是否真在监听无关。真实服务端口由进程主动 bind()，哪怕防火墙全关，ss -tuln 仍能看见监听状态。
真正要查“已开启的服务端口”，得看内核 socket 监听表，不是看防火墙规则。
-
ss -tuln是首选：快、轻量、CentOS 7/8 默认自带，-t（TCP）、-u（UDP）、-l（仅监听）、-n（不解析服务名） -
netstat -tuln功能等价，但需先装net-tools：yum install -y net-tools -
lsof -i -P -n | grep LISTEN能同时看到进程名和 PID，适合排查冲突，但输出较冗长，且需 root 权限才完整
ss -tuln 输出里哪些行代表“服务已开启”
ss -tuln 每行开头是协议（tcp 或 udp），第二列是状态（LISTEN 才算服务端口），第三列是本地地址+端口。关键看 0.0.0.0:端口号 或 *:端口号 —— 这表示监听所有网卡；而 127.0.0.1:端口号 表示仅本机可连，对外不可达。
例如这一行：
tcp LISTEN 0 128 *:22 *:* users:(("sshd",pid=1234,fd=3))
说明 sshd 在所有接口的 22 端口监听，是真正“开启的服务端口”。如果只看到 127.0.0.1:3306，MySQL 就没对外提供服务。
查指定端口是否被占用，别只靠 firewall-cmd --query-port
firewall-cmd --query-port=8080/tcp 只回答“防火墙是否放行”，完全不管有没有进程在 listen。想确认 8080 是否真被服务占用，必须用：
CentOS Linux 7.9.2009是传统CentOS Linux 7的最后主要版本，也是很多企业历史服务器中仍可能遇到的系统版本。它以稳定、兼容RHEL 7生态、文档丰富和软件支持广泛著称，曾长期用于Web服务、数据库、虚拟化节点和企业内部业务系统。不过CentOS Linux 7已于2024年6月30日停止维护，现在继续使用会面临安全补丁缺失风险。该版本更适合旧业务迁移、历史环境恢复或离
-
ss -tuln | grep ':8080$'—— 精确匹配端口（末尾 $ 防止匹配到 80801） -
lsof -i :8080—— 直接列出使用该端口的进程，无输出即空闲 - 如果返回 “
COMMAND PID USER FD TYPE DEVICE SIZE/OFF NODE NAME” 但没内容，说明没人监听
常见陷阱：启动服务失败但端口残留（如上次 crash 未 clean），ss 仍会显示 LISTEN，实际服务不可用。此时需结合 systemctl status 服务名 判断进程真实状态。
CentOS 7/8 默认没 netstat，ss 的参数差异容易漏掉 UDP
很多人只记 ss -tln，漏掉 -u，导致查不到 DNS（53）、DHCP（67/68）等 UDP 服务。正确写法必须带 -u：
ss -tuln 是最小安全集；若只想看 TCP，明确写 ss -tln；若只看 UDP，用 ss -uln。
另外注意：ss -tuln 不显示进程名（除非加 -p 且 root 运行），而 lsof -i 默认带进程信息但慢、依赖更多权限。生产环境建议先用 ss -tuln 快速扫一遍，再对可疑端口用 lsof -i :端口 定位。
真实监听端口和防火墙放行端口是两层事，混淆这两者会导致排查方向完全错误。尤其在容器或 systemd socket activation 场景下，端口可能“存在但未激活”，得结合 ss 输出和 systemctl list-sockets 综合判断。
