速查
客户端访问（必开）
开放对象：使用 App、桌面端、网页、小程序的所有用户所在网络。- 网页端只用到 443 和 39001/UDP；原生客户端三个都要
- 客户端只会连这三个端口。如果修改了 443 或 18883，要同步修改管理后台 系统配置 → 网络 里的接入地址
- 80/TCP 不需要对外开放
设备网关
只在接入硬件设备时需要。开放对象是设备所在的网段，不是互联网。
设备和设备网关之间隔着 NAT 时：
- 部署时「设备访问网关 IP」要填设备看到的那个地址（NAT 映射后的地址）
- NAT 上的端口映射要保持端口号不变，尤其是 RTP 端口段，否则会出现呼通了但没声音没画面
多台服务器之间
单机部署时服务之间走本机回环，不需要额外放通。分机或多节点部署时，以下端口在服务器之间的内网放通即可：MCU 直播（可选，默认关闭）
使用 MCU 内置直播功能时才需要：
这几个端口没有加密和鉴权，面向公网观众时建议通过 443 反向代理，不要直接暴露。
严禁对外开放
以下端口只在服务器本机或内网使用，不要对互联网开放：服务器主动外连
纯内网环境下，以下功能需要放通服务器的出向访问：防火墙配置示例
最小集（firewalld）：ufw allow 443/tcp、ufw allow 39001/udp 等。