防火墙设置里3306到底怎么算
老周（运维工程师，八年经验）笔记一则。端口冲突一眼定位 我尽量写成你照着做就能成的样子。
别收藏了，收藏等于没做。3306现在就开始，第一步最简单。
一句话结论
先把标准定死，再用工具批量处理，最后按硬指标筛，3306十分钟收工。
动手试试：3306工具
| 端口 | 协议 | 服务 | 典型用途 | 安全注意 |
|---|---|---|---|---|
| 21 | TCP | FTP | 文件传输 | 明文,建议改用SFTP |
| 22 | TCP | SSH | 远程登录 | 用密钥登录 |
| 25 | TCP | SMTP | 发送邮件 | 别开放转发 |
| 53 | TCP/UDP | DNS | 域名解析 | 防DNS污染 |
| 80 | TCP | HTTP | 网页访问 | 跳转443 |
| 443 | TCP | HTTPS | 加密网页 | 标配 |
| 3306 | TCP | MySQL | 数据库 | 不对公网 |
| 3389 | TCP | 远程桌面 | Windows远程 | 暴露风险高 |
| 5432 | TCP | PostgreSQL | 关系数据库 | 本地回环最佳 |
| 6379 | TCP | Redis | 缓存数据库 | 默认无密码 |
| 8080 | TCP | HTTP备用 | 开发调试 | 与80二选一 |
| 27017 | TCP | MongoDB | 文档数据库 | 默认无密码 |
拿下端口基础的动作
端口号是1到65535之间的整数，用来区分同一台机器上的不同服务，这就是3306的底线，防火墙设置里别含糊。
80是网页明文，443是加密网页——这条做到，防火墙设置里你已经赢过八成的人。
查端口的场合，照口令做
防火墙设置
防火墙设置这种场子，记住设置防火墙规则就够了。
端口转发
在端口转发，做端口转发，别想复杂。
教程学习
教程学习里最实用的一条：学网络基础。
查询步骤，照口令做
- 查服务名
SSH、HTTP还是数据库。临时活动用一次里偷懒跳过这步，后面全得补。
- 对照端口号
动作要点：确认默认端口，做不到位不算完。
- 看协议类型
TCP还是UDP。挂在公开主页里偷懒跳过这步，后面全得补。
- 评估暴露面
动作要点：该不该对公网开，做不到位不算完。
- 写进防火墙规则
只放行需要的。教程学习里偷懒跳过这步，后面全得补。
先把常用端口理顺
| 端口 | 协议 | 服务 | 典型用途 | 安全建议 |
|---|---|---|---|---|
| 80 | TCP | HTTP | 网页访问 | 尽量跳443 |
| 443 | TCP | HTTPS | 加密网页 | 现在的标配 |
| 22 | TCP | SSH | 远程登录 | 用密钥不用密码 |
| 3306 | TCP | MySQL | 数据库 | 别对公网开 |
教练只补一句：对公网开放的端口越少，暴露面越小，选哪条路先看你防火墙设置最想保哪头。
拿下配置误区的动作
把动态端口当服务
随机端口多半是出站连接，在防火墙设置这么干等于白忙，立刻改。
自己扫公网
别未授权扫描可能违规——这是新手在3306上栽得最多的地方。
数据库直接对公网
3306被扫得飞起，在防火墙设置这么干等于白忙，立刻改。
远程桌面裸奔
别3389公网暴露，密码爆破不断——这是新手在3306上栽得最多的地方。
先把常见疑问理顺
3306：端口最大多少？
直接说：65535。3306的判断权在你，工具只负责给数。
3306：知名端口到多少？
答案不绕弯：0到1023，照这个口径在防火墙设置用就行。
3306：8080和80什么关系？
直接说：8080是HTTP备用口。3306的判断权在你，工具只负责给数。
3306：UDP用在哪？
答案不绕弯：DNS、视频通话、游戏，照这个口径在防火墙设置用就行。
3306：端口冲突怎么办？
直接说：改其中一个服务的端口。3306的判断权在你，工具只负责给数。
拿下配置细节的动作
- 默认端口先查再配，现在就记进你的3306动作里。
- 硬要求：数据库只绑内网。
- 老手都在做：远程登录用密钥，防火墙设置里特别管用。
- 防火墙白名单最小化，现在就记进你的3306动作里。
- 硬要求：动态端口多是正常出站。
- 老手都在做：扫描仅限自己资产，防火墙设置里特别管用。
拿下这份端口表的动作
口令就到这。3306真正难的不是没选项，是你肯不肯现在就做第一组。