O cliente não recebe requisições, ele só as emite. O servidor recebe requisições, então precisa ser permitido que isto aconteça. Se permitisse todas portas teria uma grande área de ataque através de requisições de exploração.
Na verdade não é que precisa abrir as portas para o cliente, eles estão todas abertas.
É como um show, uma festa fechada, em evento, há controle de quem entra, não de quem sai. Todo mundo pode sair, só quem tem permissão pode entrar.