防火墙与安全组规则的安全配置方法
产品访问控制与系统防火墙可能同时生效。不是每个系列都有相同的云端安全组入口；先确认产品实际提供的功能，再修改操作系统内的规则。
修改前保存这四项
- 当前管理协议、实际端口和本地公网出口IP。
- 现有规则截图或导出结果。
- 需要开放的业务及其TCP、UDP协议。
- 备用控制台或工单恢复方式。
保留当前连接。来源限制应填你本地网络对外的公网IP，不能填本机的192.168等局域网地址。动态出口或多出口网络需要先安排可用的访问方案。
Ubuntu使用UFW时的示例
仅适用于已经安装UFW且确认由它管理规则的系统。示例198.51.100.25是文档地址，必须替换成自己的公网出口；22也必须换成实际SSH端口。
sudo ufw status numbered
sudo ufw --dry-run allow from 198.51.100.25 to any port 22 proto tcp先检查预览的来源、端口和协议，确认后再添加对应规则：
sudo ufw allow from 198.51.100.25 to any port 22 proto tcp
sudo ufw status numbered如果UFW当前未启用，不要只复制ufw enable：先核对所有必需管理和业务规则、备用入口，再安排启用与验证。使用firewalld、nftables或面板管理的系统应在对应工具中配置，避免混用多套规则。
怎样验证规则正确
- 从允许的网络新建一个SSH或RDP连接，旧连接保持打开。
- 测试实际业务，而不只测试Ping。
- 确认成功后，再按计划移除不必要的旧宽泛规则；记录被移除规则，以便恢复。
Windows可在“Windows Defender防火墙（高级安全）→入站规则”核对协议、端口、作用范围和启用的配置文件。排查时不通过长期关闭全部防火墙替代具体规则。
临时测试规则要记录用途；排查完成后移除不再需要的临时放行，再验证管理连接与业务。保存本次变更记录，避免忘记关闭测试期间额外开放的入口。