很多人一碰到Node.js和CentOS防火墙的组合，第一反应就是“冲突了”。其实，这俩东西本身并没有天然的矛盾，问题往往出在规则配置上——说白了，就是防火墙没把Node.js用的端口给放行。CentOS默认的防火墙工具（比如firewalld、iptables）会默认拒绝所有未明确允许的入站流量，如果Node.js监听的是3000、80、443这类端口，而防火墙规则里没给它开绿灯，那外部请求自然就进不来，表现就是“无法访问”。
来看看常见的冲突场景，其实都很典型：
- 端口未开放：Node.js应用跑在非标准端口（比如3000），但firewalld没加对应规则，外部访问直接被挡在门外。
- 端口冲突：如果Node.js想绑定到1024以下的端口（比如80），普通用户没权限，要么用root启动，要么靠防火墙做端口转发——比如把80端口的流量转到8080。
- 多防火墙工具冲突：同时开着firewalld和iptables，规则可能互相覆盖，导致部分规则失效。建议只留一个，CentOS 7+默认推荐用firewalld。
要解决这类冲突，其实就几步，跟着走就行：
确认Node.js监听端口
用netstat -tulnp | grep（比如netstat -tulnp | grep 3000），看看Node.js到底监听在哪个端口和IP地址。通常监听0.0.0.0就是对的，表示所有接口都能访问。检查防火墙状态
运行systemctl status firewalld，确认firewalld服务在跑。如果没跑，用systemctl start firewalld启动，再顺手systemctl enable firewalld设个开机自启，省得下次重启又忘了。开放Node.js端口
用firewalld添加永久规则，这样重启后依然有效：sudo firewall-cmd --permanent --zone=public --add-port=/tcp # 如--add-port=3000/tcp sudo firewall-cmd --reload # 重新加载配置使规则生效 验证一下：
firewall-cmd --list-all，看“ports”列表里有没有目标端口。处理1024以下端口（按需操作）
如果Node.js必须用80这样的低端口，有两种方式：- 方法1：用root启动（不推荐，有安全风险）：
sudo node app.js。 - 方法2：端口转发（推荐）：把80端口的流量转发到8080（Node.js实际监听端口），命令如下：
sudo firewall-cmd --permanent --zone=public --add-forward-port=port=80:proto=tcp:toport=8080 sudo firewall-cmd --reload然后让Node.js监听8080端口即可。
- 方法1：用root启动（不推荐，有安全风险）：
排查多防火墙冲突（按需操作）
如果同时启用了iptables，建议禁用它以避免规则打架：sudo systemctl stop iptables sudo systemctl disable iptables确保只跑firewalld一个。
最后，验证一下效果：
