zabbix服务器需要开通什么端口，zabbix监控端口怎么配置？

Zabbix服务器需要开通的核心端口是TCP 10051和10050，其中10051用于Agent和Proxy主动上报数据，10050用于Server主动从Agent采集数据，Web界面需要放行80/443，独立数据库需要放行3306或5432。

zabbix服务器需要开通什么端口：一份完整清单

很多第一次装Zabbix的朋友,卡在“监控没数据”这一步，翻来覆去看配置没问题，最后发现是防火墙端口没放行，Zabbix的端口规划其实很清晰理清楚谁访问谁，就能自然推导出要放通哪些端口。

先看默认端口清单（均基于TCP协议，适用于4.0/W、5.0、6.0及7.0系列）：

行业共识认为,多数中小型部署只需确保10050、10051、80/443三个端口放通，就能跑通完整采集链路，如果你还启用了Agent2节点，端口不变，依旧是10050和10051，只是进程名从zabbix_agentd变为zabbix_agent2，监听逻辑完全相同。

zabbix 10050和10051端口的区别

• 10051端口是Zabbix Server上zabbix_server进程监听的端口，用来接收后缀为“trapper”的监控项数据、主动模式的Agent上报、以及Zabbix Proxy转发回来的数据，它是Server的“收件箱”。
• 10050端口是Zabbix Agent上zabbix_agentd进程监听的端口，Server开启被动监控项时，会直连这个端口向Agent要数据，它是Agent的“服务窗”。

配置时的对应关系：

• Server配置文件zabbix_server.conf里的ListenPort=10051，如果改成别的端口，Agent的Server=IP:新端口也要同步改。
• Agent配置文件zabbix_agentd.conf里的ListenPort=10050，Server端的端口会自动匹配Agent的监听端口，无需在Server配置里单独指定。

这里容易搞反方向,Agent主动上报时，是Agent连Server的10051端口，不是让Server连Agent的10051，弄反方向，排查方向就完全偏了。

不同部署方式下端口需求差异

All-in-One单机部署（最常见）

• 组件全装一台机器：Server + Agent + Web + 数据库
• 这台机器需要放通10050（等待本机Server采集）、10051（等待外部Agent上报）、80/443（浏览器访问Web）
• 数据库端口3306只在本地回环监听,不需要对外开放

分离部署（数据库独立）

• Zabbix Server机器要放行10050、10051、80/443，还必须能出站连接数据库服务器的3306或5432
• 数据库安全组规则要允许来自Zabbix Server的入站访问，同时把源地址限定在服务器网段，不要裸奔

前端分离部署

• Web服务器单独一台,通过PHP-FPM反向代理连后端Server
• 此时Web服务器到后端的9000端口（PHP-FPM）要放通，或者通过Unix socket连接，前提是两台机器在同一个内网且安全组允许互访

zabbix分布式部署：Proxy节点额外开哪些端口

监控规模几百台以上、或者需要在跨地域机房汇总数据时，会引入Zabbix Proxy，端口关系多一环：

• Agent → Proxy：Agent中Server=Proxy的IP，端口是Proxy的10050（被动模式）或10051（主动模式）
• Proxy → Server：Proxy主动连接Server的10051端口上报数据，默认每隔60秒一次



• Server → Proxy：Server维护Proxy状态，一般也需要能连到Proxy的10051端口

Proxy角色比较特殊,介于Server和Agent之间，要求Server与Proxy、Proxy与Agent之间的防火墙双向都能通信，只放单向数据传不完整。

zabbix防火墙端口配置实操步骤

Linux使用firewalld（RHEL、Rocky、CentOS系列）

firewall-cmd --permanent --add-port=10050/tcp
firewall-cmd --permanent --add-port=10051/tcp
firewall-cmd --permanent --add-port=80/tcp
firewall-cmd --permanent --add-port=443/tcp
firewall-cmd --reload
firewall-cmd --list-ports

Ubuntu/Debian使用ufw

sudo ufw allow 10050/tcp
sudo ufw allow 10051/tcp
sudo ufw allow 80,443/tcp
sudo ufw reload

云服务器安全组

• 登录云控制台 → 安全组 → 入方向规则
• 按“自定义TCP”添加10050、10051、80/443端口
• 源地址不要设0.0.0.0/0，限定Agent所在网段或办公公网IP更安全

常见误区：云安全组放行了端口，但Linux本地防火墙没关，照样不通，反过来，本地防火墙关了但安全组没放行，同样失败，两端都要查。

还有个容易漏掉环节：部分Linux发行版强制启用SELinux，即使firewalld放行了端口，SELinux仍会拦Zabbix进程的TCP访问，排查时用getenforce确认状态，若为Enforcing，需要为zabbix添加对应策略规则，或临时切到Permissive验证。

zabbix agent端口不通的排查思路

监控出现“Agent ping”报错或数据丢失，端口连通性是首要排查点。

第一步，看监听状态

ss -tlnp | grep 10050
ss -tlnp | grep 10051

看到LISTEN状态正常,但绑定的IP不是预期地址时，检查zabbix_agentd.conf里的ListenIP参数，默认全局监听没问题，若被改成127.0.0.1，外部访问自然不通。

第二步，测端口连通性

telnet 目标ServerIP 10051
telnet 目标AgentIP 10050

telnet连上说明端口层正常,返回Connected即通，连接失败继续排查防火墙，Windows下用telnet或Test-NetConnection 目标IP -Port 10050替代。

第三步，确认进程和日志

lsof -i :10050
lsof -i :10051

服务没起来,端口自然无监听，Zabbix日志定位原因：

• Agent日志默认在/var/log/zabbix/zabbix_agentd.log
• Server日志在/var/log/zabbix/zabbix_server.log

业内专家指出,端口连通性异常中，相当一部分实际是Hostname不匹配问题，端口通了，数据还是传不上来时，重点对照Agent配置的Hostname和Zabbix前端面板中主机名称是否大小写完全一致。

常见问答

Zabbix Web界面的端口怎么修改？

默认Web端口跟随Nginx或Apache配置,Nginx为例，修改/etc/nginx/conf.d/zabbix.conf中listen参数后重启服务即可，改完同时同步调整安全组和防火墙放行策略，避免访问被拦截。

关闭Agent被动监控，只用主动模式，可以只放一个端口吗？

可以,全部改成主动监控项后，Agent不需要开10050端口，只需放通Agent到Server的10051端口即可，不过主动模式对Agent配置有一定要求，每个监控项都要指定主动类型，建议先在少部分主机上测试确认采集正常，再批量切换。

为什么端口开了数据还是传不上来？

端口放通只是前提,检查Agent配置中Server和ActiveServer参数的IP是否正确指向Zabbix Server，再核对前端面板主机名和Agent配置的Hostname是否完全匹配，日志中出现“cannot send data to server”且telnet 10051又能通时，优先查Hostname匹配问题，Zabbix默认拒绝陌生主机发送的数据，此时Agent会周期性重试上报，产生大量无效网络连接。