端口与网络要求
本页按标准协议说明部署通信。默认端口用于规划，最终防火墙规则应与实际启用的组件、监听端口和容器端口映射一致；只开放需要的来源与目标。
业务访问入口
| 来源 → 目标 | 参考端口／协议 | 用途与条件 |
|---|---|---|
| 用户浏览器／客户端 → 网盘入口或反向代理 | 443/TCP，HTTPS | 加密业务访问 |
| 用户浏览器／客户端 → 网盘入口或反向代理 | 80/TCP，HTTP | 仅在启用 HTTP 入口或跳转 HTTPS 时使用 |
| 访问方 → 实际部署的 Node 服务入口 | 3060/TCP 或 3080/TCP | 既有部署的明文／加密入口示例；是否开放由实际部署及代理方式决定 |
表格可左右滚动查看
内部服务与存储
下表按“调用方 → 服务监听方”列出方向。部署时将角色替换为实际主机；容器内部端口不一定需要映射到宿主机，也不等于对外开放端口。
| 调用方 → 服务监听方 | 默认或参考端口 | 条件 |
|---|---|---|
| 需要缓存的业务组件 → Redis | 6379/TCP | 启用 Redis 且跨主机访问时 |
| 需要数据库的业务组件 → MySQL | 3306/TCP | 启用对应数据库且跨主机访问时 |
| 转码等组件 → 业务内部接口 | 8080/TCP（既有部署示例） | 以交付配置的内部服务监听与映射为准 |
| 业务组件 → Elasticsearch | 9200/TCP | 启用搜索服务时 |
| 管理端 → Kibana | 5601/TCP | 启用管理界面时，仅允许管理来源 |
| 业务组件 → Tika | 9998/TCP | 启用文档文本提取服务时 |
| 管理端 → 容器可视化管理服务 | 9000/TCP（既有部署示例） | 可选管理组件；不是 Docker 集群必需端口 |
| NFS 客户端 → NFS 服务器 | NFSv4：2049/TCP | 使用 NFS 存储时 |
| NFSv3 客户端 → NFS/RPC 服务 | 2049、111 及配置的 mountd/statd/lockd 端口 | 协议及辅助端口按 NFS 版本、系统配置确定；35000 是既有 mountd 配置示例，不是通用固定值 |
| 获准的管理端 → Docker daemon | 2376/TCP，TLS | 仅启用远程管理时；本机 Unix socket 不需要此网络端口 |
| 业务与转码组件之间 | 按转码服务实际监听及发布端口 | 由交付配置确定，不套用 Docker 集群端口 |
表格可左右滚动查看
NFS 按版本配置，纯 NFSv4 不应照搬 NFSv3 的辅助端口列表。参考 NFS 防火墙配置与 Docker 远程访问说明。
Docker Swarm 集群
| 端口 | 协议 | 通信范围 | 用途 |
|---|---|---|---|
| 2377 | TCP | 集群节点连接管理节点，以及管理节点之间 | Swarm 管理通信 |
| 7946 | TCP 和 UDP | Swarm 节点之间 | 覆盖网络的节点发现与通信 |
| 4789（默认，可配置） | UDP | 参与覆盖网络的 Swarm 节点之间 | 覆盖网络数据通信 |
表格可左右滚动查看
启用加密覆盖网络时，还需允许 IP 协议 50（IPsec ESP，不是 TCP/UDP 端口 50）。4789 仅向可信集群网络开放。规则依据 Docker 官方协议与端口说明；单机非 Swarm 部署不需要照搬此表。
安装与维护
| 来源 → 目标 | 端口／协议 | 使用条件 |
|---|---|---|
| 获准的部署跳板机／管理端 → 目标服务器 | 22/TCP，SSH | Linux 远程部署或维护；限定来源和使用时间 |
| 需要安装或授权的服务器 → 交付方案列明的服务地址 | 443/TCP，HTTPS | 按安装源、镜像源或授权服务实际地址配置出站访问 |
表格可左右滚动查看
安装源与授权地址以本次交付方案为准，不把旧资料中的固定 IP 当作长期白名单。隔离网络按 POC 指南约定离线交付与授权方式。
应用于实际部署
- 列出本次启用的业务、搜索、存储、转码和管理组件。
- 核对各服务实际监听及容器发布端口，将表中的角色替换为具体主机和网段。
- 按来源、目标、协议、端口和启用条件生成网络规则；无需跨主机访问的组件不额外开放。
- 检查用户访问、内部调用和必要安装维护路径，完成后回收临时部署权限。