在Firewalld中移除已开放端口需三步：先用--list-ports或--list-all确认规则，再用带--permanent且参数完全匹配的--remove-port或--remove-service命令删除，最后执行--reload使变更生效。

在 Firewalld 中移除已开放的端口，关键在于“精准删除 + 永久生效 + 重载配置”。只执行删除命令但不加 --permanent 或忘记 --reload，规则仍会存在或不生效。

确认当前开放了哪些端口

先查清实际生效的规则，避免删错或漏删：

• 查看所有已开放的端口：firewall-cmd --zone=public --list-ports
• 查看完整区域配置（含服务、端口、源地址、富规则）：firewall-cmd --zone=public --list-all
• 若使用非默认 zone（如 dmz 或 trusted），把 public 替换为对应 zone 名称

按类型删除端口规则

删除命令必须与当初添加时的参数完全一致（协议、zone、端口范围等），否则会报错或无效：

Linux Security Scanner

Linux 安全审计工具，检查 SSH 配置、开放/监听端口、防火墙规则（ufw/iptables/nftables）、失败登录尝试、sudoers 权限...

下载

• 删单个 TCP 端口（如 8080）：firewall-cmd --permanent --zone=public --remove-port=8080/tcp
• 删 UDP 端口（如 53）：firewall-cmd --permanent --zone=public --remove-port=53/udp
• 删端口范围（如 9000–9010）：firewall-cmd --permanent --zone=public --remove-port=9000-9010/tcp
• 删某服务（如误开的 http）：firewall-cmd --permanent --remove-service=http

让删除操作真正生效

Firewalld 的 --permanent 操作只修改磁盘配置，不会立即影响运行时规则：

• 执行重载命令使变更生效：firewall-cmd --reload
• 验证是否删除成功：firewall-cmd --list-ports 或再次运行 --list-all
• 注意：临时规则（没加 --permanent）在重启 firewalld 或系统后自动消失，无需手动删除

常见误区提醒

几个容易出错的操作细节：

• 删除时漏掉 --permanent → 规则还在磁盘配置里，下次 reload 又回来
• 删的时候用了 --add-port 的写法（比如写成 --remove-port=8080 少写了 /tcp）→ 命令静默失败，实际没删掉
• 用 systemctl restart firewalld 替代 --reload → 会中断现有连接，没必要且不推荐
• 同时启用了 ufw 或 iptables → 可能规则冲突，建议只保留一个防火墙管理工具