集群内部服务之间偶尔会出现注册中心显示节点在线，但实际调用时连接超时，这类故障很大比例来自防火墙端口未被正确放行。端口放行不是简单地在某一条规则里开放全部端口，而是需要结合主机防火墙、云平台安全组和网络ACL逐层核对。本文以Linux集群为对象，说明端口放行位置、常用命令和测试方法，并给出从监听状态到跨节点访问的排查路径。
一、集群网络流量经过的防火墙层级
在集群环境中，一次节点间的端口访问通常会经过至少三层访问控制。第一层是云平台安全组，它绑定在云主机网卡上，用于限制入方向和出方向的IP、端口和协议。第二层是VPC网络ACL或子网级防火墙，通常按子网粒度过滤流量。第三层才是操作系统内部的主机防火墙，例如Linux下常见的firewalld、iptables或ufw。很多端口不通的问题并不是服务没有启动，而是只检查了其中一层，忽略了另外两层。
安全组与主机防火墙的最大区别在于状态管理。安全组通常是有状态的，允许入方向流量后，对应响应流量会自动放行，不需要额外配置出方向规则。而iptables如果使用默认DROP策略，则需要同时考虑入方向和出方向的ESTABLISHED、RELATED状态放行，否则即使入站规则正确，返回包也可能被丢弃。这也是很多集群节点间TCP握手失败的原因。
以Kubernetes集群为例，API Server的6443端口、etcd的2379和2380端口、kubelet的10250端口、Flannel的8285和8472端口，都需要在安全组和主机防火墙中放行。如果只放行了6443，而没有放行节点之间的Pod网络端口，就会出现kubectl可以连接、但Pod无法跨节点通信的现象。因此，在排查端口问题前，应先梳理集群角色和端口清单，明确哪些端口需要跨节点互通。
二、常见端口放行命令与持久化配置
在Linux主机上，firewalld是目前较多发行版默认的防火墙管理工具。它通过zone管理规则，常用命令包括查看当前活动区域、添加端口、移除端口和重载规则。例如要放行TCP 6443端口，可以执行以下命令。
# 查看当前活动区域 firewall-cmd --get-active-zones # 在public区域放行6443端口，并永久生效 firewall-cmd --zone=public --add-port=6443/tcp --permanent # 重新加载防火墙规则 firewall-cmd --reload # 查看已放行端口 firewall-cmd --zone=public --list-ports
需要特别注意的是，--permanent参数表示将规则写入配置文件，但不会立即生效，必须配合firewall-cmd --reload。如果不加该参数，规则仅在当前运行时生效，重启后丢失。对于临时测试，可以先不加--permanent直接添加，确认连通后再写入永久规则。
对于使用iptables的系统，可以通过插入规则到INPUT链来放行端口。假设集群节点IP为192.168.10.0/24网段，只允许该网段访问6443端口，可以这样配置。
# 放行来自集群网段的6443 TCP访问 iptables -I INPUT -s 192.168.10.0/24 -p tcp --dport 6443 -j ACCEPT # 如果默认策略为DROP，建议同时放行已建立连接和回包 iptables -I INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT # 保存iptables规则，不同发行版命令略有差异 service iptables save
如果集群部署在云平台，还需要检查安全组是否允许对应端口。云安全组通常通过控制台或命令行配置入方向规则，源地址可以设置为集群所在VPC网段或安全组自身ID，协议选择TCP，端口填写6443或端口范围。很多云平台也支持通过API批量开通，适合节点数量较多时使用。
三、连通性测试工具及适用场景
确认防火墙放行后，需要验证端口是否真正可达。最简单的测试命令是telnet，但它的缺点是很多最小化安装系统没有预装，而且只能判断TCP连接是否建立，无法测试UDP端口。示例命令如下。
# 测试TCP端口是否开放 telnet 192.168.10.20 6443
如果连接成功会显示Connected字样，如果卡住或提示Connection refused，则说明端口可能未监听或被防火墙阻断。nc比telnet更灵活，支持TCP和UDP，还可以设置超时时间，适合在脚本中批量检测端口。
# 检测TCP端口，设置3秒超时 nc -zv -w 3 192.168.10.20 6443 # 检测UDP端口 nc -zuv -w 3 192.168.10.20 8472
nmap则适合一次扫描多个端口或整段IP，但生产环境中使用时要注意扫描频率，避免对业务造成干扰。例如扫描集群节点常见的端口范围，可以使用以下命令。
# 扫描单个主机的指定端口 nmap -p 6443,2379,2380,10250 192.168.10.20 # 扫描连续端口范围 nmap -p 8000-9000 192.168.10.20
如果集群中存在Windows节点，可以使用PowerShell自带的Test-NetConnection命令。该命令能够同时返回端口连通状态和延迟信息，在Windows Server和Windows 10及以上版本均可使用。
# 测试TCP端口连通性 Test-NetConnection -ComputerName 192.168.10.20 -Port 6443 # 测试指定端口并输出详细结果 Test-NetConnection -ComputerName 192.168.10.20 -Port 6443 -InformationLevel Detailed
对于HTTP或HTTPS服务，还可以直接使用curl命令验证端口和应用层是否正常。比如访问集群API Server的健康检查接口，如果返回ok则说明端口和应用层均正常，如果只测试TCP端口则无法发现应用层问题。
# 测试HTTPS端口并忽略证书校验 curl -k -v https://192.168.10.20:6443/healthz # 测试HTTP端口 curl -v http://192.168.10.20:8080/healthz
四、端口不通的排查流程与实例
当集群中出现端口不通问题时，建议按照先本机、后本网段、再跨网段的顺序逐层排查。第一步是在目标节点上确认服务是否已经监听对应端口。使用ss -lntp或netstat -lntp可以查看监听地址和进程。如果服务只监听了127.0.0.1，那么其他节点自然无法访问，需要修改服务配置使其监听0.0.0.0或本机IP。
# 查看TCP监听端口 ss -lntp | grep 6443 # 查看UDP监听端口 ss -lunp | grep 8472
第二步是在目标节点本机进行回环测试，确认端口在本地可以正常建立连接。如果本机可以连接但远程无法连接，基本可以锁定为主机防火墙或安全组问题。第三步从同子网的另一台节点测试目标端口，如果同子网可以通但跨子网不通，则要检查网络ACL或路由配置。第四步才是修改防火墙规则和安全组，并在每次修改后重新测试。
举一个实际排查场景：某集群新增了一个Node节点，kubelet能正常注册，但Pod调度到该节点后无法访问其他节点的服务。检查目标端口10250时，发现新增节点上ss -lntp显示kubelet已监听0.0.0.0:10250，本机curl -k https://127.0.0.1:10250/healthz也正常。然后从旧节点使用nc -zv -w 3 新节点IP 10250测试发现超时，说明旧节点到新节点的流量被拦截。最终定位到云安全组只对旧节点网段放行了10250端口，新增节点所在子网没有被加入源地址范围。将新节点子网加入安全组入方向规则后，端口立即恢复连通。
这个案例说明，端口放行和连通性测试必须覆盖完整链路。集群扩容时，新增节点不仅要加入集群，还要同步更新防火墙和安全组的源地址范围。每次变更后，建议使用nc或Test-NetConnection对关键端口做快速扫描，把结果记录到部署检查清单中，避免故障反复出现。