linux开启端口本质是两件事：服务进程必须监听该端口，防火墙必须允许入站流量；需用ss或netstat确认监听状态，firewall-cmd加规则后必须--reload生效，并检查云安全组等外围限制。
Linux上“开启端口”本质是两件事：服务进程必须在监听该端口，防火墙必须允许入站流量到达它。只配防火墙而没服务监听，或者服务在监听但防火墙拦着，都会导致外部连不通。
先确认服务是否真在监听目标端口
防火墙放行的是“流量”，不是“端口”。如果 ss 或 netstat 查不到监听记录，开再多次防火墙也没用。
- 用
ss -tlnp | grep :8080检查 TCP 8080 是否被某个进程绑定（-tTCP、-l监听、-n数字端口、-p进程名） - 若提示
Permission denied，加sudo；若报command not found，先装iproute2（Ubuntu/Debian）或net-tools（CentOS/RHEL） - 注意监听地址：
127.0.0.1:8080表示只接受本地连接，需改成0.0.0.0:8080或具体外网 IP 才能被远程访问 - 非 root 用户无法绑定 1024 以下端口，如要监听
80，得用sudo启动服务，或配置CAP_NET_BIND_SERVICE
firewall-cmd --permanent --add-port=xxx/tcp 必须 reload 才生效
--permanent 只是把规则写进磁盘配置，不触发运行时加载。漏掉 --reload 是最常见失败原因。
Browser Setup (No-Root Linux)
下载
在无 root/sudo 权限的环境（云容器、VPS、隔离主机）中安装并配置 OpenClaw 浏览器工具的 headless Chrome。适用场景：...
- 正确顺序：
firewall-cmd --permanent --add-port=3000/tcp→firewall-cmd --reload -
--reload不重启服务，只是重新载入规则，不影响已有连接 - 验证是否生效：
firewall-cmd --list-ports（只看端口）或firewall-cmd --list-all（含 zone、service、rich rule 等） - 如果用
--zone=public显式指定 zone，确保当前默认 zone 确实是public（firewall-cmd --get-default-zone），否则规则加错地方
iptables 规则不保存 = 重启就丢
iptables 命令添加的规则默认只存在于内存，系统重启后清空。不保存等于白配。
- Debian/Ubuntu 推荐用
iptables-persistent：sudo netfilter-persistent save - RHEL/CentOS 7+ 默认不用 iptables，若强制启用，保存命令是
sudo service iptables save（需先systemctl enable iptables） - 直接写入
/etc/iptables/rules.v4也可，但需确保iptables-restore 在启动时执行 - 别混用 firewalld 和 iptables：firewalld 底层可能用 iptables 或 nftables，两者同时启用会冲突，
systemctl stop firewalld && systemctl mask firewalld再操作 iptables 更稳妥
云服务器额外卡在安全组，和本地防火墙无关
阿里云、腾讯云、AWS 等平台，即使 Linux 防火墙全放行，安全组（Security Group）没开对应端口，照样连不上。
- 先登录云控制台，检查实例绑定的安全组是否允许目标协议+端口+源 IP 段
- 安全组规则优先级高于 Linux 防火墙，它是第一道过滤网
- 测试时建议临时放通
0.0.0.0/0（仅限调试），确认通后再收紧范围 - 某些云厂商控制台修改安全组后需几秒生效，别立刻断定失败
真正卡住人的地方往往不在命令本身，而在监听地址是否对外、--permanent 后忘了 --reload、iptables 规则没保存、或者根本没意识到云平台还有安全组这层。每一步都得有对应验证，不能靠“应该开了”来判断。
