必须在防火墙网关中明确放行对应端口和协议，否则请求会被丢弃；需先用netstat等命令确认服务实际监听的端口与协议，再按操作系统（Windows、国产系统、华为防火墙）分别配置入站规则或安全策略。
要让外部设备或网络能正常访问你电脑上运行的服务（比如Web服务、远程桌面、共享文件夹），必须在防火墙网关中明确放行对应端口和协议，否则请求会被直接丢弃。
确认服务监听的端口和协议
先用命令行查清你要开放的服务实际绑定在哪个端口、使用TCP还是UDP。打开终端，执行：netstat -ano | findstr :端口号（例如findstr :80），确认进程ID（PID）后，再用tasklist | findstr PID号核对服务名。这一步不能跳过——很多教程默认写80或443，但你的WebApi可能监听5000，数据库可能用3306或5432，填错端口等于白设。
如果服务未启动或未绑定到任意IP（只绑127.0.0.1），防火墙放行也无效。
Windows系统内置防火墙放行端口
方法一：图形界面快速添加入站规则
打开“控制面板”→“系统和安全”→“Windows Defender 防火墙”→“高级设置”→左侧选“入站规则”→右侧点“新建规则…”→选择“端口”→下一步→选“TCP”，在“特定本地端口”填入你要放行的端口（如80,443,5000，多个用英文逗号隔开）→下一步→选“允许连接”→下一步→勾选适用的网络类型（域、专用、公用；局域网建议勾“专用”，外网暴露服务才勾“公用”）→给规则起个易识别的名字（如WebApi_HTTPS_5000）→完成。
方法二：PowerShell一键启用（管理员权限运行）
执行：New-NetFirewallRule -DisplayName "Allow Port 5000" -Direction Inbound -Protocol TCP -LocalPort 5000 -Action Allow -Profile Domain,Private。注意-Profile参数必须显式指定，否则默认只生效于“所有配置文件”，而某些企业策略会禁用该模式。
【关键前提】必须以管理员身份运行PowerShell，否则命令静默失败且无提示。
国产操作系统（统信UOS/银河麒麟）防火墙放行
第一步：确认firewalld服务已运行
终端执行sudo systemctl status firewalld，若显示inactive，先执行sudo systemctl start firewalld && sudo systemctl enable firewalld启用并设为开机自启。
第二步：按区域放行端口
① 查看当前默认区域：sudo firewall-cmd --get-default-zone（常见为public或home）；
② 永久放行TCP端口5000：sudo firewall-cmd --permanent --add-port=5000/tcp；
③ 重载配置使规则生效：sudo firewall-cmd --reload。
若需限制仅某IP访问，改用富规则：sudo firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="192.168.1.100" port port="5000" protocol="tcp" accept'。不加source则对所有来源开放，慎用。
华为USG系列防火墙网关放行（针对内网服务器对外提供服务）
登录Web管理界面 → “策略” → “安全策略” → 点击“新建” → 在“源区域”选untrust（外网），“目的区域”选trust（内网服务器所在区域）→ “源地址”可填any或指定IP段 → “目的地址”填服务器真实IP（如192.168.2.10）→ “服务”点击“编辑”，新增一条服务对象：协议选TCP，目的端口填5000 → 动作选“允许” → 开启“日志”便于排错 → 提交。
注意：该策略生效前提是服务器已配置NAT Server映射（即外网IP:Port → 内网IP:Port），否则流量根本到不了这条安全策略环节。
命令行等效操作（需进入安全策略视图）：security-policy → rule name Allow_WebApi_From_Internet → source-zone untrust → destination-zone trust → source-address 0.0.0.0 0.0.0.0 → destination-address 192.168.2.10 255.255.255.255 → service tcp destination-port 5000 → action permit。
