端口清单：22000、21027 与 8384 各自负责什么
三组端口一张表
| 端口/协议 | 用途 | 方向 |
|---|---|---|
| 22000/TCP | 同步协议数据传输（TCP 通道） | 设备间 |
| 22000/UDP | 同步协议数据传输（QUIC 通道） | 设备间 |
| 21027/UDP | 本地发现：IPv4 广播 + IPv6 组播 | 局域网内 |
| 8384/TCP | Web 管理界面与 REST API | 默认仅本机 |
同步端口在 Settings → Connections 的 Sync Protocol Listen Address 里改（默认写法 default，展开即是上述端口）；管理界面端口在 GUI 设置里改。
为什么 22000 同时开 TCP 和 UDP
两条通道服务于同一目标「连上就用」：TCP 兼容性最好；QUIC 在受限网络下有更好的穿透表现（客户端探测 NAT 类型、走 STUN 获取外部地址）。设备连接时自动选择可用的一条，用户无感。日志里 TCP listener 与 QUIC listener 两行就是这两条通道的就绪确认。
21027 与本地发现
局域网内设备互相广播自己的存在（设备 ID + 端口），同网段免配置直连。官方文档指出它可能被路由器挡住——特别是跨 VLAN、或访客 Wi-Fi 与有线网桥接的场景；静态 IP 的设备可以绕过发现，在设备地址里直接写 tcp://192.168.x.x:22000, dynamic。
8384 默认只听本机
管理界面默认绑定 127.0.0.1:8384，这是安全设计：局域网其他人打不开你的管理面板。要远程访问需要显式改监听地址并配密码，流程见[远程访问管理界面(05-remote-gui.md)——不配密码就把 8384 暴露出去，等于把文件系统交给同网段所有人（服务化场景的官方警告原话）。
放行清单（要记就记这三个）
官方防火墙文档给的入站放行清单：22000/TCP、22000/UDP、21027/UDP。8384 通常不需要对外放行。具体防火墙配置见[防火墙放行与 UPnP(04-firewall.md)。