O cliente não recebe requisições, ele só as emite. O servidor recebe requisições, então precisa ser permitido que isso aconteça. Se permitisse todas portas teria uma grande área de ataque através de requisições de exploração.

Na verdade não é que precise abrir as portas para o cliente, elas estão todas abertas, não tem porque fechar portas de saída a não ser que não confie no que está rodando na máquina, mas aí porta aberta é o menor dos problemas.

É como um show, uma festa fechada, em evento, há controle de quem entra, não de quem sai. Todo mundo pode sair, só quem tem permissão pode entrar.

Claro que todo cliente pode ser um servidor também. Em comunicações ponto a ponto são assim. O ponto a ponto precisa sempre saber o endereço do ponto para iniciar a comunicação.

A requisição inicial de comunicação precisa da porta aberta, mas depois isso não é mais problema na maioria das arquiteturas já que a conexão pode ser mantida aberta, aí fica como se fossem dois clientes se comunicado.