小服务器防火墙只开必要端口：ufw 五条规则上手

小服务器刚上线，先做防火墙比调性能更重要。很多服务默认监听公网，数据库和管理端口一旦暴露，就会被全网扫描。思路很简单：默认拒绝入站，只放行确实需要的服务。Ubuntu 的 ufw 命令短、规则直观，适合上手。

默认拒绝入站

入站默认拒绝，出站默认放行。这样服务器的更新和拉取软件包不受影响，外部主动连入必须有明确规则。

sudo ufw default deny incoming
sudo ufw default allow outgoing

只放行 SSH、HTTP、HTTPS

只跑网站的小服务器，通常只需三个端口：22 用于远程管理，80 用于网站访问，443 用于加密访问。临时调试的端口用完要立刻关闭，不要长期留着。

sudo ufw allow 22/tcp
sudo ufw allow 80/tcp
sudo ufw allow 443/tcp

规则写完后显式启用，并检查默认策略和三条规则是否都在：

sudo ufw enable
sudo ufw status verbose

看状态，更要看顺序

ufw 按顺序匹配规则，先匹配到的先生效。过于宽泛的放行规则放在前面，会让后面的精细规则失效。排查时用编号查看，删除前先核对编号对应的端口和协议。

sudo ufw status numbered

改 SSH 端口：先放行，再改规则

把 SSH 从 22 改成 2222 时，最容易把自己锁在外面。正确顺序是：先放行 2222/tcp，再改 SSH 配置并重启服务，接着用新端口开一个新终端登录验证，确认能正常进入后，才删除 22 的规则。

收尾习惯

只给内网用的数据库、缓存和管理后台，不要对外放行；定期清理不再使用的端口；云服务器还要同步检查安全组，因为防火墙和安全组是两道门。

五条核心规则就是：默认拒绝入站、默认放行出站、放行 22、80、443。顺序对了，小服务器的安全底线就立住了。