企业官网建设流程全解析

先说几句实际的。服务器端口怎么查，这个事儿看起来基础，但我在日常运维里发现，问这个问题的人恰恰不是完全不懂，而是“会一点但不够用”。比如只知道netstat -ano，看到一堆状态不知道下一步干嘛；或者Linux上敲完netstat提示命令不存在，就卡住了。这文章我不打算只丢几个命令给你，而是把“查端口”这件事拆开讲清楚：什么时候该用哪个命令、怎么从输出判断服务到底有没有起来、端口被占用了怎么定位进程、还有像海康存储服务器这种带专用管理界面的设备，管理端口又该去哪儿找。内容覆盖 Windows 和 Linux 两套系统，通篇都是能直接上手的操作。

1. 先搞清楚：查端口到底是在查什么

1.1 监听端口和连接端口，别再傻傻分不清

查端口之前，得先弄明白一个最容易被忽略的概念：你查的是“监听端口”还是“连接端口”。

监听端口是服务器上某个服务主动打开的入口。比如 Nginx 监听 80 端口、MySQL 监听 3306 端口，这类端口的状态通常是LISTENING（Windows）或LISTEN（Linux）。查这种端口，你得到的是“这台服务器上到底有哪些服务在提供访问入口”，这是排查服务有没有起来、配置有没有生效的关键。

连接端口是客户端发起的网络连接占用的端口。比如你本机访问了一个网站，系统会随机分配一个高位端口（通常大于 1024）去连服务器的 80 端口，这时候你看到的是ESTABLISHED状态。查这种端口，更多是为了看当前哪些连接还挂在服务器上、有没有异常外连，或者某个外部 IP 在和你建立大量连接。

很多新手一看netstat -ano输出里一大堆ESTABLISHED和TIME_WAIT，就以为服务器“开了很多端口”，其实是理解偏了——那些大多是瞬态连接，不是服务监听端口。所以你查端口时先问自己一句：我要确认服务监听，还是排查连接？

1.2 什么场景下你需要去查端口

根据我做运维和项目部署的经验，查端口基本逃不出下面这几类场景：

• 服务部署完了，确认进程是否正常监听在预期端口上。
• 新服务端口起不来，怀疑端口被别的进程占了。
• 外网访问不到服务，本地端口明明是通的，想知道是不是防火墙或安全组的问题。
• 想知道某个端口对应哪个进程，好判断能不能动它。
• 接手一台老服务器，想盘点上面到底跑了哪些服务。

不同场景，适合的命令不完全一样。比如确认监听状态用netstat/ss就行，但要定位占用端口的进程，就得配合查 PID。我第一次给客户排查 Tomcat 冲突时，就是靠netstat -ano定位 PID，再顺着 PID 找到是一台旧服务还占着 8080，杀完进程世界就清净了。所以下面我把 Windows 和 Linux 分开讲，每个系统都给你一套完整打法。

2. Windows 系统查端口，从入门到够用

2.1 netstat 命令：最常用的端口查看方式

Windows 上首选的还是系统自带的netstat，不用装任何东西。我最常敲的是这一条：

netstat -ano | findstr 8080

参数解释一下：-a显示所有连接和监听端口，-n用数字形式显示地址和端口号（不做域名反解，速度快很多），-o显示对应的进程 PID。管道后面的findstr 8080是过滤，只看包含 8080 的行。

输出大概是这样的：

TCP 0.0.0.0:8080 0.0.0.0:0 LISTENING 18232

这行信息量很大，从左到右分别是协议、本地地址、外部地址、状态、PID。0.0.0.0:8080表示服务监听在所有网卡地址的 8080 端口上，外部访问没问题；如果这里显示的是127.0.0.1:8080，那就说明服务只允许本机访问，外网自然连不上。状态LISTENING说明正在监听，PID 是18232。

接着查这个 PID 对应什么进程：

tasklist | findstr 18232

出来结果类似java.exe 18232 Console 1 123,456 K，一眼就能看出是 Java 程序占用了端口。如果tasklist查不到，也可以用 PowerShell 命令Get-Process -Id 18232看得更详细。

netstat唯一的缺点是输出耗时比较长，连接多的时候会感觉卡一下。但作为系统自带工具，胜在哪儿都能用，是 Windows 查端口第一选择。

2.2 PowerShell 的 Get-NetTCPConnection：比 netstat 更好用

如果你用的 Windows Server 版本比较新，或者本地装了 PowerShell 3.0 以上，我更推荐用Get-NetTCPConnection，它相当于 netstat 的“高清增强版”，按端口过滤更直接。

查某个端口是否监听：

Get-NetTCPConnection -LocalPort 8080

这个命令会直接以表格形式显示该端口的连接状态和 OwningProcess。要看得更爽，可以加上Format-List：

Get-NetTCPConnection -LocalPort 8080 | Format-List LocalAddress,LocalPort,State,OwningProcess

然后通过 PID 定位进程：

Get-Process -Id 18232 | Select-Object Id,ProcessName,Path

注意第三行的Path，它会把进程的可执行文件完整路径也带出来。这个信息在排查“这个端口到底是谁占的”时非常有用，比如看到路径指向某个 Tomcat 目录或者某个 Java 安装目录，基本就能确定是哪个服务。

我用 PowerShell 最多的时候是批量排查端口，比如要确认 80、443、3306、6379 这几个端口各自的监听情况，可以直接写：

Get-NetTCPConnection -State Listen | Where-Object {$_.LocalPort -in 80,443,3306,6379}

这种写法比 netstat 一个个findstr高效多了。你完全可以把它存成一个.ps1脚本，以后直接运行。

2.3 顺带解决一个热词问题：Windows 服务器怎么开 631 端口

如果你恰恰是在 Windows 服务器上遇到“IPP 631 端口”这个需求，我多写一段。631 端口是 IPP（Internet Printing Protocol，互联网打印协议）的服务端口，主要用于网络打印服务。Windows 服务器要开放这个端口，让局域网里的打印机客户端能通过 IPP 提交打印任务，一般按下面几步走：

第一步，确认打印相关服务在运行。按Win + R输入services.msc，找到Print Spooler，确认状态是“正在运行”，启动类型建议设为“自动”。没有打印服务做基础，光开放端口是没有意义的。

第二步，启用 IPP 相关组件。在“服务器管理器”里选择“添加角色和功能”，勾选“打印和文档服务”，把“Internet 打印”和“打印服务器”都装上。装完之后系统会多出 IPP 相关的服务和监听端口。

第三步，放行防火墙端口。打开“高级安全 Windows Defender 防火墙”，新建入站规则，规则类型选“端口”，协议选 TCP，指定本地端口填631，操作允许连接。这里我可以给个经验：如果只是局域网打印，建议在“配置文件”那一步只勾选“域”和“专用”，不要开“公用”，免得把打印端口暴露到不可信网络上，安全第一。

最后验证一下：重新打开命令提示符，执行netstat -ano | findstr 631，看到LISTENING状态就基本成了。我自己帮一家公司调打印服务器时，就是卡在防火墙规则没建对，导致客户端一直报“找不到打印机”，后来单独给 631 端口放行才解决。这一步很常见，但也最容易漏。

3. Linux 系统查端口：netstat、ss、lsof 怎么选

3.1 ss 命令：现代系统首选

在 Linux 上，我优先推荐ss。它是iproute2包里的命令，现在主流发行版默认都装了，读取的信息直接来自内核，速度快输出准，已经是netstat的官方替代品。

查所有监听端口：

ss -tlnp

这四个字母拆开解释：-t只看 TCP，-l只看监听的端口，-n用数字显示端口不反解域名，-p显示进程信息。输出类似：

State Recv-Q Send-Q Local Address:Port Peer Address:Port Process LISTEN 0 128 0.0.0.0:80 0.0.0.0:* users:(("nginx",pid=1234,fd=8))

注意看最后一列，直接把进程名nginx和 PID1234带出来了，不需要再额外查一次，这是ss比netstat方便的地方。如果你想查特定端口，加个grep：

ss -tlnp | grep :8080

ss还可以查所有 TCP 连接（去掉-l），比如看某个 IP 和本机建立了哪些连接：

ss -tnp | grep 192.168.1.100

在处理生产环境时我一般都会加-p，一旦端口异常，输出里直接有 PID，能省下不少时间。

3.2 lsof 命令：定位进程与端口的精准工具

如果你习惯按“端口号反查进程”，lsof会更顺手。

查某个端口当前被谁占用：

lsof -i:8080

输出类似：

COMMAND PID USER FD TYPE DEVICE SIZE/OFF NODE NAME java 18232 root 22u IPv6 123456 0t0 TCP *:8080 (LISTEN)

COMMAND是进程名，PID是进程号，NAME里*:8080表示监听所有网卡的 8080 端口，(LISTEN)确认是监听状态。

如果端口没在监听，但有外部连接正在建立（比如别人正在访问你这个服务），也能显示出来。想过滤一下只看监听中的，可以加-sTCP:LISTEN：

lsof -i:8080 -sTCP:LISTEN

拿到了 PID，如果不是特别清楚这个进程是谁的，可以先确认一下程序路径再动手：

ls -l /proc/18232/exe

这条命令我建议每个做运维的人都养成习惯。/proc目录下每个进程都有一个exe软链接，指向这个进程的可执行文件真实路径。有次我排查一个占用 3307 端口的可疑进程，就是靠这一招发现路径指向某个自己不认识的目录，才确认是被植入了挖矿程序。定位到进程路径，很多疑难问题会豁然开朗。

3.3 netstat 命令：兼容老系统的备用方案

虽然netstat在较新 Linux 系统上已经不默认安装了，但老系统或者部分精简发行版上仍然是“查端口第一反应”。你只需要注意一点：如果提示-bash: netstat: command not found，说明命令不存在，先装包：

# CentOS/RHEL 系 yum install -y net-tools # Ubuntu/Debian 系 apt install -y net-tools

装完之后用法和ss很像：

netstat -tlnp | grep :3306

参数含义：-tTCP、-l只显示监听、-n数字格式、-p显示程序名和 PID。输出里会有0.0.0.0:3306或者:::3306（IPv6）这样的监听地址，以及LISTENING对应的是LISTEN。

我给你的建议是：新系统优先ss，要用到端口反查进程优先lsof，只有连这两个都没有的时候才去装net-tools用netstat。三者不要混着记，先掌握ss和lsof两个就足够应付 99% 场景。

4. 端口通不通，光看监听不够，要实测连通性

4.1 本机检查与远程测试的区别

很多朋友查到端口在监听就以为大功告成，结果远程一访问还是不通。这里有个关键误区：本机端口 LISTENING，只能说明服务进程起了并绑定到了某个地址，但不代表外部网络能到达这个端口。中间还隔着服务监听地址、系统防火墙、云安全组、物理网络设备这些环节。

我按经验把排查链路拆成三步：

第一步，看监听地址是不是0.0.0.0或::。如果ss -tlnp显示127.0.0.1:8080，这个服务只能本机访问，远程肯定连不上。正确处理是去改服务配置文件，让它监听0.0.0.0，然后重启服务。

第二步，确认本机回环访问正常。在本机上直接访问一下端口，比如 HTTP 服务就curl http://127.0.0.1:8080，能通说明服务本身没问题。

第三步，从远程测试。这时候才是验证网络上通不通，用下面的命令来测。

4.2 常用端口连通性测试方法

远程测试最传统的工具是telnet：

telnet 192.168.1.10 8080

如果输入命令后光标停在远处，没有任何报错，说明 TCP 连接建立成功，端口是通的。如果提示Connection refused，说明目标服务器端口根本没监听，或者防火墙直接丢弃了连接；如果卡住直到超时，多半是防火墙把包丢了，只出不进。

Windows 10 以上系统默认没装 telnet 客户端，可以这样开启：控制面板 -> 程序和功能 -> 启用或关闭 Windows 功能 -> 勾选“Telnet 客户端”。也可以临时用 PowerShell 测试：

Test-NetConnection -ComputerName 192.168.1.10 -Port 8080

Linux 上我更喜欢用nc：

nc -vz -w 3 192.168.1.10 8080

-v输出详细日志，-z表示只扫描不发送数据，-w 3是 3 秒超时。通了会显示Connection to 192.168.1.10 port 8080 [tcp/http] succeeded!，不通会直接提示Connection refused或者超时。

如果是 Web 服务的端口，直接curl更直观：

curl -v http://192.168.1.10:8080/health

很多后端服务会暴露健康检查接口，比如 Spring Boot 的/actuator/health，nginx 的/nginx_status。能拿到 HTTP 响应码说明从应用层也是通的。

这里必须提醒一句：用nmap这类工具做端口扫描，只应该针对你自己有权限管理的服务器和网络资产，千万别对没有授权的目标乱扫。这不是技术问题，是底线问题。

5. 特定设备场景：海康存储服务器 DS-AT1000S 的管理端口怎么找

5.1 存储服务器管理端口的特点

有朋友问海康存储服务器 DS-AT1000S 的管理端口怎么查。这类产品和普通 Linux/Windows 服务器不太一样，它属于视频监控领域的专用存储设备，出厂装的是定制化嵌入式系统，一般没有给你随便登录的命令行 shell。它对外提供的是 Web 管理界面，所以你真正要关心的不是“操作系统里哪个端口在监听”，而是“设备管理界面跑在哪个端口上”。

按照海康威视同类存储设备的管理方式，常见情况是这样：设备通常默认开启一个 HTTP 管理端口，多数是 80；如果开了 HTTPS，通常对应是 443。部分型号也有自定义端口，比如 8000 系列的流媒体或 SDK 端口不一定是管理界面端口，不要混为一谈。我把话说严谨点：不同批次不同固件版本的设备，默认管理端口有差异，最靠谱的依据是你手里这台设备铭牌、说明书里的“出厂默认设置”，或者官网对应型号的规格书。

5.2 实际查找管理端口的思路与方法

手里没有说明书、又不确定管理端口的时候，我建议按下面这个顺序来：

第一，看设备和包装里有没有快速入门卡片。这类存储设备出厂时一般会附一张标签，上面写着默认管理 IP 和端口。DS-AT1000S 如果走的是海康标准流程，标签上通常会有类似192.168.1.64这样的默认 IP，管理端口一般是 80 或 443。

第二，如果设备已经被接入局域网，但 IP 是自动获取的，你找不到它，可以下载海康官方的 SADP 搜索工具，在局域网内扫描发现设备。SADP 能显示设备的 IP 地址、端口和序列号信息，可以一键修改设备的网络参数。这工具是海康通用设备管理工具，几乎所有海康设备都能用它发现。

第三，有权限的情况下，登录 Web 管理界面，在网络配置或系统配置里可以查看和修改 HTTPS 端口、HTTP 端口。有些型号支持把管理端口改成一个不常见的数字，这是出于安全考虑，改完要记住新端口，不然下次登录都找不到入口。

第四，实在不行，把设备接入交换机，在交换机上做端口镜像，用 Wireshark 抓包看设备主动向外发的流量。设备启动时通常会有一些注册、心跳、NTP 同步之类的网络数据包，抓包后从目的地端口大致能判断出它常用的管理通道。这个方法稍微进阶，适合有点网络基础的人。

我再提醒一点：不要因为不确定端口，就在互联网上对设备 IP 做全端口扫描。正确做法是先用官方工具发现设备，再根据文档去登录。对于一台存储服务器来说，里面存的可都是监控录像，操作一定要谨慎再谨慎。

6. 端口排查中容易踩的坑和解决办法

6.1 命令不存在、权限不够怎么办

命令不存在这个问题，我在实际中遇到太多次了。Windows 下提示“不是内部或外部命令”，大概率是命令拼写错误或者系统环境变量被改过，可以直接用完整路径C:\Windows\System32\netstat.exe试一下。Linux 下netstat不存在就装net-tools，ss不存在的情况极罕见（除非系统太老），lsof不存在就yum install -y lsof或apt install -y lsof。

权限不足是另一个高频问题。ss -tlnp不带sudo时，进程 PID 那列经常会显示不出来，因为普通用户没有权限查看别的进程信息，正确做法是加sudo：

sudo ss -tlnp

lsof -i:8080同理，普通用户看不到其他用户进程的详细信息，也要sudo。很多新手在那儿折腾半天没结果，其实就是缺个sudo。

6.2 查到端口却连不上：从服务、防火墙、系统设置三方面排查

端口明明在 LISTENING，但远程就是连不上，这个问题的排查顺序我一般固定为：服务监听地址 -> 本机防火墙 -> 云平台安全组 -> 系统其他设置。

先检查监听地址。0.0.0.0或::才对外可访问，如果发现只有127.0.0.1，改配置文件里的 bind 地址，改完重启服务。然后是防火墙：

# CentOS 7+ 或 RHEL firewall-cmd --query-port=8080/tcp firewall-cmd --permanent --add-port=8080/tcp && firewall-cmd --reload # Ubuntu 的 ufw ufw allow 8080/tcp

Windows 服务器则在防火墙高级设置里看入站规则有没有放行对应端口。如果你用的是云服务器，还要去云平台控制台看一眼安全组入方向规则，这里我踩过不少坑：本地防火墙全关了，结果安全组没放行，照样连不上。

最后，Linux 上如果开了 SELinux，也可能会拦掉一些非标准端口的访问。临时验证方式是把 SELinux 设为 permissive 试试端口通不通，通了就说明是 SELinux 拦截，用semanage port -a -t http_port_t -p tcp 8080这类方式放行；不建议长期关闭 SELinux。

6.3 查端口过程中值得记住的几个小技巧

到这里，我再补几个自己平时用的“小抄”，都是处理端口问题高频使用的东西。

第一个：netstat或ss里看到一堆TIME_WAIT。这不是监听端口，是连接关闭后的残留状态，一般几秒到几分钟内会消失，不用惊慌。如果TIME_WAIT大量堆积，可能是应用频繁创建短连接，需要调应用层连接复用参数，而不是去“清理端口”。

第二个：查 PID 之后，建议顺手看下进程启动命令，而不是只凭进程名判断。用ps -ef | grep PID或者cat /proc/PID/cmdline（内容用tr '\0' ' '转换一下可读性更好），能看到完整的启动命令，确认它是哪个服务实例。很多时候服务器上会跑多个同名进程，只凭进程名会认错。

第三个：如果你在用 HBuilderX 这类开发工具排查自己写的 Web 项目，想快速找到代码里到底哪里调用了某个端口配置，可以在项目目录上按Alt+F8（或右键选择“查找所有引用”），它会帮你列出所有引用到该配置或函数的位置。这虽然和 Linux 查端口不是一回事，但在开发阶段定位“这个端口是谁写进代码里的”却相当实用，配合服务端查看监听端口，两端一对照，问题基本都能缩小到一个很小的范围。

第四个：改完端口配置，记得确认服务真的重启了，而不是只改了文件。有的服务有热加载机制，有的必须重启进程才生效。最简单的验证方式就是改完后再执行一次ss -tlnp | grep 端口，看监听端口是否和你预期的一致。

最后分享一个我个人的排查习惯，也算给这篇文章收个尾：我拿到一台服务器要查端口，永远先看监听地址和 PID，再测本机访问、测远程访问，最后才动防火墙。这四个环节按顺序走，基本不会漏。只要你把这些命令和判断思路记住了，以后遇到端口问题，哪怕环境再陌生，也不会毫无头绪。