如何关闭高危闲置网络端口

本文目录导读：

1. 识别高危与闲置端口
2. Linux系统关闭端口
3. Windows系统关闭端口
4. 验证关闭效果（所有系统通用）
5. 注意事项
6. 自动化脚本示例（Linux）

关闭高危闲置网络端口是提升系统安全性的重要措施，以下是具体操作步骤，涵盖Linux和Windows系统，操作前请确认端口确实闲置,以免影响正常服务。

识别高危与闲置端口

1. 高危端口参考（部分常见）：

   • 135、137、139、445（Windows SMB/RPC漏洞）
   • 23（Telnet明文传输）
   • 3389（远程桌面,如未使用可关闭）
   • 22（SSH,如仅内网使用可限制IP）
   • 21（FTP明文传输）
   • 未授权的服务端口等。

2. 检查当前监听端口：

   • Linux：sudo netstat -tulnp 或 ss -tulnp
   • Windows：netstat -an | findstr LISTEN（管理员CMD）

Linux系统关闭端口

方法1：停止并禁用相关服务（推荐）

• 查找占用端口的服务：

  sudo lsof -i :端口号
  sudo systemctl status 服务名  # 如 snmpd、vsftpd

• 停止并禁用：

  sudo systemctl stop 服务名.service
  sudo systemctl disable 服务名.service

  例如关闭 80 端口的HTTP服务：sudo systemctl stop nginx.service && sudo systemctl disable nginx.service

方法2：使用防火墙规则阻止端口

适用于不确定服务能否直接停止，或需要临时关闭的场景（推荐配置iptables/firewalld）。

• firewalld（CentOS 7+、RHEL）：

  sudo firewall-cmd --zone=public --remove-port=端口号/tcp --permanent
  sudo firewall-cmd --reload

  例如关闭 445：sudo firewall-cmd --zone=public --remove-port=445/tcp --permanent

• iptables（通用Linux）：

  sudo iptables -A INPUT -p tcp --dport 端口号 -j DROP
  sudo service iptables save  # 持久化（部分系统需要安装iptables-service）

方法3：修改配置文件（服务自带监听配置）

• 找到服务配置文件（如 /etc/ssh/sshd_config），修改 Port 或 Listen 项，或设置 bind 127.0.0.1 仅本地监听,然后重启服务。

Windows系统关闭端口

方法1：停止并禁用对应服务

• 打开services.msc，找到对应服务，右键→属性→启动类型设为“禁用”，并停止服务。
  • 注意：禁用RpcSs可能导致系统异常,建议仅通过防火墙限制135端口而非完全停止服务。

方法2：使用Windows防火墙入站规则

1. 打开wf.msc（高级安全Windows防火墙）→ 入站规则 → 新建规则。
2. 规则类型：端口 → 协议（TCP/UDP）→ 特定本地端口（如445）→ 阻止连接 → 应用于所有配置文件 → 命名保存。
3. 建议同时创建出站规则,防止已感染的主机向外传播。

方法3：注册表或组策略（高级）

• 关闭NetBIOS over TCP/IP（137/138/139）：

  打开“网络连接”→ 网卡属性 → IPv4 → 高级 → WINS → 禁用TCP/IP上的NetBIOS。

• 关闭SMBv1（可降低445风险）：

  通过“控制面板→程序→启用或关闭Windows功能”→ 取消勾选“SMB 1.0/CIFS文件共享支持”。

验证关闭效果（所有系统通用）

• 本地验证：再次运行端口检查命令，确认端口不再处于LISTEN状态。
• 远程验证：从外部机器使用 telnet IP 端口号 或 nmap -p 端口号 IP 测试。

  如果远程连接超时或被拒绝,说明端口已关闭。

注意事项

1. 确认服务依赖性：例如445常与文件共享、打印服务相关；3389与远程桌面，如果确实需要这些服务，建议仅限制来源IP（如白名单）而非完全关闭。
2. 端口0：部分系统监听端口为0表示随机分配,无需手动关闭。
3. 生产环境操作：建议先在测试环境验证，避免影响应用,关闭前可备份防火墙规则或服务配置文件。

自动化脚本示例（Linux）

#!/bin/bash
# 关闭高危端口的firewalld规则示例
HIGH_RISK_PORTS=(23 135 137 139 445 3389)
for port in "${HIGH_RISK_PORTS[@]}"; do
    sudo firewall-cmd --zone=public --remove-port=${port}/tcp --permanent 2>/dev/null
done
sudo firewall-cmd --reload

如果需要针对特定端口的详细服务识别或防火墙配置帮助,可以补充说明具体端口号。

标签： 网络安全