Debian 服务器防火墙入门：ufw 规则与端口管理

刚接手一台 Debian 服务器，我习惯先把防火墙立起来。ufw 是 Debian 上顺手的防火墙前端，规则像一句话，排查也方便。下面是日常顺序，照着做基本不会把自己锁在门外。

一、启用之前，先放行 SSH

这是最容易翻车的一步。ufw 启用后默认挡住未放行的入站连接，SSH 没放行就断线重连不上。所以一定先放行、再启用：sudo ufw allow OpenSSH，或写明端口 sudo ufw allow 22/tcp；改过端口就换成实际端口。确认后执行 sudo ufw enable，按提示输入 y。

二、常用规则：放行、拒绝、删除

放行 Web：sudo ufw allow 80/tcp、sudo ufw allow 443/tcp；只允许内网访问数据库：sudo ufw allow from 10.0.0.0/24 to any port 3306。临时封端口用 sudo ufw deny 8080/tcp。规则写错用编号删：先 sudo ufw status numbered 看编号，再 sudo ufw delete 2；删除后编号会变，删多条要每次重看编号。

三、查看状态与默认策略

巡检记两个命令：sudo ufw status verbose 看状态、默认策略和规则；sudo ufw status numbered 看带编号规则，方便删除调整。默认策略建议入站拒绝、出站放行：sudo ufw default deny incoming，sudo ufw default allow outgoing。没明确放行的端口默认关着，新服务再逐个放行。

四、云服务器上，安全组和 ufw 是两层门

云服务器通常有两道关：云平台的安全组在外层过滤，ufw 在系统内过滤，流量要同时通过两层。端口不通时，先看安全组，再看 ufw，最后看服务是否监听对应端口。改完规则用 ss -tlnp 确认端口在监听，并从另一台机器连一次才算数。

最后提醒：改防火墙前保持一个已登录 SSH 会话别断，改完新开会话测试，能登录再退出旧会话，写错规则也有补救机会。