当前位置：首页 > 技术运维

拒绝裸奔：腾讯云与 1Panel 双重防火墙的“开门”逻辑全解构

李牧之2个月前 (12-05)技术运维52

**作者：沐青 | 栏目：技术运维 | 预计阅读时间：6 分钟**

---

在配置服务器网络时，很多新手会被绕晕：
“腾讯云有一个防火墙，1Panel 也有一个防火墙。我是不是只开一个就行了？”
更致命的问题是：“我装了 Redis，要不要去腾讯云把 6379 端口打开？”

如果这个问题搞不清楚，你的服务器要么**业务不通**，要么**全网裸奔**。
今天我们用最通俗的逻辑，把这个**“总开关 vs 次开关”**的机制讲透。

## 一、 核心逻辑：串联的“双重门禁”

你的比喻非常精准：
* **腾讯云防火墙（安全组）** = **小区大门保安**（总开关）。
* **1Panel 防火墙（Firewalld）** = **自家防盗门**（次开关）。

### 1. 流量的过关斩将
当一个用户访问你的网站时，流量必须**连续通过两关**：
1.  **第一关：** 流量到达腾讯云机房。如果“小区大门”没开，直接丢弃。
2.  **第二关：** 流量到达服务器操作系统。如果“防盗门”没开，内核拒绝连接。

**结论：** 对于对外服务的端口（如 80/443），**必须两个都开，缺一不可。**

### 2. 1Panel 的“自动化福利”
虽然理论上要开两遍，但 1Panel 做了一个很贴心的设计：
当你通过应用商店安装软件（如 OpenResty）时，它会自动帮你把“次开关”（系统防火墙）打开。

**操作心法：**
* **腾讯云端：** 必须手动开。（因为腾讯云不知道你装了啥）。
* **1Panel 端：** 绝大多数时候**不用管**（它自动配置）。除非你手动改了怪异的端口。

---

## 二、 致命误区：Redis 端口要不要开？

这是无数服务器被黑的根源。
**问：** 我装了 Redis (6379) 或 MySQL (3306)，需要在腾讯云放行端口吗？
**答：❌ 坚决不开！打死也不能开！**

### 1. Docker 的内网通信原理
你的 Z-Blog（博客程序）和 Redis（数据库），是运行在同一台服务器上的两个 Docker 容器。
它们之间的通信，走的是服务器肚子里面的**虚拟内网**（Docker Network）或者 `127.0.0.1`。

这就像是你自己在家里（服务器内部）从客厅走到卧室，**完全不需要经过小区大门，甚至不需要经过防盗门。**

### 2. 裸奔的代价
如果你在腾讯云防火墙放行了 `6379` 端口：
这意味着全世界的黑客都可以尝试连接你的 Redis。
Redis 默认是弱密码甚至无密码的，黑客可以在几秒钟内利用 Redis 漏洞获取你服务器的 **Root 权限**。

**结论：对于数据库类服务（MySQL/Redis/MongoDB），永远不要在防火墙放行端口。**

---

## 三、 决策矩阵：什么时候开？什么时候关？

为了让你不再纠结，我整理了一份标准的操作对照表：

## 四、 为什么不能直接关了 1Panel 防火墙？

有人问：“既然腾讯云已经防住了，我嫌麻烦，把 1Panel 的系统防火墙彻底关了行不行？”
**不行。**

1.  **Docker 依赖：** 1Panel 是基于 Docker 的。Docker 的容器转发极其依赖系统防火墙（iptables/firewalld）的底层规则。暴力关闭防火墙，可能导致**容器间通信失败**。
2.  **双重保险：** 万一哪天你手滑把腾讯云设成了“全放行”，系统防火墙就是你最后的底裤。

## 沐青总结

运维其实就是把好两扇门：
1.  **对外营业的窗口（80/443）：** 大门敞开，欢迎光临。
2.  **自家金库的钥匙（3306/6379）：** 严防死守，家贼难防（内网通），外贼免进（公网断）。

**Next Step：**
搞懂了防火墙，你的服务器安全架构就及格了。现在，你可以放心地去安装 Z-Blog 了。安装完后，为了让你的 URL 更漂亮（利于 SEO），我们需要配置 **伪静态**。下一篇见！