北京
云服务器开机那一刻，公网上的自动扫描就开始了。每一个对外开着的端口，都是一次未授权探测和自动化漏洞利用的入口。控制网络流量，是加固一台联网机器的第一步。
iptables 和 nftables 功能强，但规则写起来绕。UFW（Uncomplicated Firewall，简化防火墙）把这件事压成几条命令，管理起来简单也可靠。下面这套流程，是在 Ubuntu 24.04 LTS 上配置 UFW 的完整路径。
第一步：先定默认策略
UFW 的行为由默认策略决定。常规做法是拒绝所有入站流量、放行所有出站流量：进来的连接默认不放行，本机主动发起的连接不受影响。策略定下来，后面每一条规则都是在默认拒绝的基础上开一个口子。
第二步：开 UFW 之前先放行 SSH
这是最容易翻车的一步。默认策略一旦生效，SSH 端口如果还没放行，远程连接会立刻断掉，人被锁在服务器外面。正确顺序是先允许 SSH，再启用 UFW。顺序反了，只能去控制台想办法。
第三步：按需打开 Web 服务端口
跑网站或接口的机器，需要放行 HTTP 的 80 端口和 HTTPS 的 443 端口。不需要对外提供 Web 服务的机器，这两个口子就没必要开。开端口这件事，原则是只开当前真正在用的。
第四步：把端口访问限制到指定 IP
有些服务不该对全网开放。UFW 支持把某条规则绑定到具体的静态 IP 地址上，只有来自这些地址的流量才能访问对应端口。管理后台、数据库这类入口，用这条规则收窄访问面，比直接对公网开放稳妥得多。
第五步：清理规则要按编号来
规则加多了会乱。UFW 可以列出带编号的规则清单，删除时按编号定位，确认删的是哪一条再动手。直接凭记忆改规则，很容易把还在用的那条一起删掉。
这五步串起来，就是一台 Ubuntu 24.04 LTS 机器从裸奔到有基本网络边界的过程：默认拒绝入站、先保 SSH 再启用、只开在用的服务端口、敏感入口限 IP、规则定期按编号清理。每一步都不复杂，但顺序和范围错了，代价是连接中断或者端口白开。
特别声明：以上内容(如有图片或视频亦包括在内)为自媒体平台“网易号”用户上传并发布，本平台仅提供信息存储服务。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
