银河麒麟 V10 系统上完成 JDK、Redis 和 TongWeb 8.0.9.13 的安装后需放行的端口清单

在银河麒麟 V10 系统上完成 JDK、Redis 和 TongWeb 8.0.9.13 的安装后，为了确保业务正常运行且符合安全规范，你需要放行以下端口。

📋 需放行的端口清单

组件	默认端口	协议	用途说明	是否必须
‌TongWeb‌	‌9060‌	TCP	管理控制台访问（登录、部署、监控）	✅ 必须
‌TongWeb‌	‌8088‌	TCP	默认 HTTP 业务访问端口（应用对外提供服务）	✅ 必须
‌TongWeb‌	‌8443‌	TCP	默认 HTTPS 业务访问端口（如需加密传输）	⚠️ 可选
‌Redis‌	‌6379‌	TCP	数据库缓存连接（Spring Boot 项目连接用）	⚠️ 按需
‌SSH‌	‌22‌	TCP	远程命令行管理服务器	✅ 必须

🛠️ 防火墙配置实操命令

请在银河麒麟终端中以 root 用户执行以下命令，永久开放上述端口并重新加载防火墙配置：

1. 放行 TongWeb 核心端口

# 放行管理控制台端口
sudo firewall-cmd --add-port=9060/tcp --permanent

# 放行默认业务HTTP端口
sudo firewall-cmd --add-port=8088/tcp --permanent

# 如果需要HTTPS，放行该端口
sudo firewall-cmd --add-port=8443/tcp --permanent

2. 放行 Redis 端口（仅当项目需要远程连接 Redis 时执行）

sudo firewall-cmd --add-port=6379/tcp --permanent

3. 确保 SSH 端口开放（防止把自己锁在外面）

sudo firewall-cmd --add-port=22/tcp --permanent

4. 使配置生效

sudo firewall-cmd --reload

5. 验证端口状态

执行以下命令查看已开放的端口列表，确认上述端口均在列表中：

sudo firewall-cmd --list-ports

🔒 重要安全加固建议

仅仅开放端口是不够的，针对生产环境，请务必执行以下安全配置：

TongWeb 强制改密与可信 IP 配置‌

修改默认密码‌：TongWeb 8.0.9.13 默认账号（thanos/security/auditor）初始密码过于简单，首次启动后必须通过 commandstool.sh 脚本修改为强密码，否则无法登录控制台。
配置可信 IP‌：新版 TongWeb 增加了安全策略，默认可能只允许本地访问控制台。若需远程管理，需在控制台「配置」->「安全设置」中将 trustedIP 设置为 * 或指定管理机 IP，否则会出现 client.trusted.not 错误。

Redis 安全配置‌

绑定 IP‌：编辑 /etc/redis.conf，将 bind 127.0.0.1 改为具体业务服务器 IP，或保持默认仅本地访问（如果 Spring Boot 和 Redis 在同一台机器）。
设置密码‌：务必在 redis.conf 中设置 requirepass your_strong_password，并在 Spring Boot 配置文件中对应填写密码，防止未授权访问导致数据泄露或被勒索。
关闭保护模式需谨慎‌：如果设置了密码，可以保留 protected-mode yes；如果未设密码，严禁将 protected-mode 设为 no 且绑定 0.0.0.0。

最小化原则‌

如果 Spring Boot 项目和 Redis 部署在同一台服务器上，‌不建议‌向公网或局域网开放 Redis 的 6379 端口，应用通过 localhost 连接即可，这样最安全。
如果 TongWeb 仅作为内部服务使用，建议限制 9060 和 8088 端口的访问来源 IP，仅允许运维人员或负载均衡器的 IP 访问。

土豆