本文由腾讯云国际站联系『云老大 / YunLaoDa-腾讯云服务器服务商•撰写』如需转载请注明！

一、腾讯云国际站服务器防火墙配置：ufw与iptables端口限制教程

拿到一个腾讯云国际站服务器后，明显人第一反应是安装环境、跑应用，把端口开放这事完全破解云平台的安全组。直到天发现数据库被破解或应用端口暴露在公网上，才想起来服务器某机防火墙根本配没。

腾讯云国际站服务器ufw iptables防火墙配置

这件事，就是那道不该被跳过的防线。本教程会从双防火墙防火墙说起，给出可用的配置步骤，顺带拆解几个踩坑率极高的问题。

一、腾讯云国际站服务器为什么需要配置防火墙

1. 云服务器面临哪些真实的安全威胁

公网上的自动化扫描从未停过。一台没有配置本地防火墙的服务器，只要有IP暴露，三内就会收到针对22、3306、6379端口的探测请求。攻击者不是追着你，而是用脚本全网扫描。中小企业和外贸企业的服务器常年在固定IP上运行，不设防意味着数据库、Redis这些服务直接对外、弱口令环境下被拿下的案例每年都在重复。

2. 安全组和服务器内防火墙到底有什么关系

这个问题最容易搞混。腾讯云安全组是云平台层面的网络访问控制，数据中心机房的入口闸机。服务器内部的ufw或iptables是网络内核的网络过滤器，相当于房间门锁。两道防线独立工作：安全组放行了某个端口，不代表系统内核会接收到这个端口的包。腾讯云官方文档也明确指出了“服务器机防火墙没放行”是端口不通的常见原因。

3. ufw 和 iptables 有什么区别及如何选择

ufw 简单调用的就是 iptables，两者不是替代关系而界面分层。如果你只需要开放几个端口并拒绝其他所有流量，ufw 完全够用。当需要“仅允许特定源 IP 访问数据库端口”这类复杂策略时，直接用 iptables 写规则会更清晰。

二、腾讯云国际站服务器环境准备与登录方式

1.如何通过SSH安全登录并避免中断风险

在堡垒改防火墙之前，打开两个SSH会话窗口——一个用于执行配置，另一个保持登录状态作为回滚通道。万一条规则把22端口封了，第二个会话还能救回来。连接命令

，建议使用密钥登录终端密码，减少暴力风险破解。

登录后第一件事确认当前防火墙是否已运行。

启动当前iptables规则。Ubuntu系统默认ufw未启用，CentOS部分镜像默认启用firewalld。如果firewalld在跑，先停掉它：

systemctl stop firewalld && systemctl disable firewalld

更新系统包，确保依赖版本兼容。

三、使用ufw配置腾讯云国际站服务器防火墙

1. ufw如何安装与启用才能不锁死SSH

这是新手翻车最多的阶段。 启用 ufw 之前必须先把 SSH 端口放开：

。确认一条规则写入后，再执行

。系统会提示“命令可能会破坏现有的 ssh 连接”，输入 y 回车。如果你在

之后才提示加 22 端口，晚了，会话已经断了。启用后立即

检查，应该会看到 22/tcp 在列表中状态为 ALLOW。

2. 业务端口的放行策略怎么设置

一个常见Web服务的端口清单：HTTP的80端口、HTTPS的443端口。命令分别是

。如果想放行一个端口范围，比如应用需要8000到8100 

建议依次想：只放行简单的端口，其余全部拒绝。ufw

默认入站策略就是拒绝，不需要额外设置拒绝规则。

3. 如何限制指定IP访问敏感端口

数据库端口 3306 或 5432 不该对全网开放。ufw 可以指定来源 IP：

ufw allow from 203.0.113.5 to any port 3306 proto tcp

。这个写法让只有你公司的固定 IP 才能连数据库，只放行端口安全分割。多个 IP 需要重复执行，每次一组。记住在腾讯云安全里也对同一个端口做源 IP 限制，形成双保险。

四、使用iptables配置腾讯云国际站服务器端口限制

1. iptables 链和规则顺序怎么理解

iptables 的 INPUT 链控制进入本机的流量，规则按写入顺序从上到下匹配，命中即。这意味着“先写拒绝再写允许”是灾难性停止错误。正确思路：先写出所有允许规则，最后一条设置拒绝。查看当前规则和顺序：

，每行前面的数字就是匹配优先级，越小越先匹配。

2.如何写规则实现精细化端口访问控制

一个典型场景：允许所有IP访问80和443，允许特定管理IP访问22，其他全部拒绝。规则如下：

iptables -A INPUT -p tcp --dport 80 -j ACCEPT
iptables -A INPUT -p tcp --dport 443 -j ACCEPT
iptables -A INPUT -p tcp -s 你的管理IP --dport 22 -j ACCEPT
iptables -A INPUT -p tcp --dport 22 -j DROP
iptables -P INPUT DROP

前面占用放行允许Web流量，第三条指定IP连SSH，第四条拒绝其他所有SSH连接，最后把INPUT链的默认策略改为DROP。注意

是追加到链计数器，如果要插入到特定使用位置

3.规则持久化怎么处理避免重启丢失

iptables规则只内存里，重启就不行了。执行

手动保存。比较稳妥的做法是安装

，安装过程中会提示保存当前规则，之后每次重启自动加载。如果系统是CentOS，回复命令是

。建议配置完成测试通过后立即保存，别等下次重启才发现存在规则丢了。

五、ufw和iptables配置后的验证与测试

1.如何从服务器内部验证端口监听状态

查看哪些进程在监听哪些端口。如果 80 端口没出现，说明 Web 服务本身没有启动，跟防火墙无关。

测试本地回环端口是否达到，能排除应用层的问题。

参数看到能每条规则的匹配计数，确认规则确实在拦截或放行流量。

2.外部端口扫描怎么做才不会误判

。一个容易被忽略的前提：腾讯安全组必须放行你扫描用的源IP，否则扫描结果全显示过滤，你分不清是安全组拦截还是服务器防火墙拦截。遇到这种情况，先去云安全组控制台确认出站/入站策略，从服务器内

：规则写错导致22端口被封。通过腾讯云控制台的VNC登录入口修改，这是最后的救命通道。

端口显示已过滤但安全组已放行

：十有八九是服务器内防火墙没配规则，

：检查iptables链顺序，允许规则写是不是被在拒绝规则后面了，

六、腾讯云国际站防火墙配置的最佳实践与建议

1.双重防护搭配怎么才能不互相踩脚

腾讯云安全组做粗粒度控制，比如开放80和443给全网，其他端口只开放给公司固定IP。服务器内防火墙做细粒度控制，比如用iptables限制3306只允许应用服务器内网IP访问，用ufw默认拒绝所有入站。两者规则要保持一致，安全组放行的端口服务器内也得放行，依次也一样。定期在两个地方分别核对端口列表，用

2.日志和监控打开起来，别等到被入侵才发现

可以看到被拦截的连接请求。iptables加一条日志规则：

iptables -A INPUT -j LOG --log-prefix "IPTables-Dropped: " --log-level 4

，所有被拒流量都会写进syslog。如果某天发现日志量暴增，多半是有人在扫你端口。结合腾讯云的云监控设置同样，CPU或带宽异常拦截时发通知，比事后查日志快了。

iptables规则备份到文件，crontab里加一条

0 3 * * 0 iptables-save > /root/iptables_backup_$(date +\%Y\%m\%d).rules

每周凌晨自动备份。下次改规则前先跑重复

做个快照，手改错了能一键回。半年做一次防火墙规则滚动审查：哪些端口还开着但业务已经不用的了？哪些IP白名单该更新了？没有这个习惯，服务器上的规则会增加流程图，安全边界也越来越模糊。

搭建服务器的第一件事不是安装环境，是先锁好门窗。安全组和本地防火墙两层都配好了，后续的应用部署一致安全的基础建议你现在就登录服务器执行一下

看看，如果是不活动的，先把22端口放开再启用，这30秒的操作能挡掉大部分无差别扫描。把这篇教程里的命令清单存到你的运维笔记里，然后配置新机器时直接对照执行。

腾讯云国际站服务器防火墙配置：ufw与iptables端口限制教程

云计算

后端

安全

数据中心

云服务器

防火墙

云监控

服务器

云安全

数据库

CentOS

Ubuntu

Redis

2026上云采购 | AI焕新·智启新局

tcpm

4核4G3M云服务器 新用户低至38元/年！

文章

问答

视频

教程

学习中心

腾讯云实验室

直播

竞赛

腾讯云代码分析专区

腾讯iOA零信任安全管理系统专区

腾讯云架构师技术同盟交流圈

腾讯云数据库专区

腾讯云智能顾问专区

腾讯云原生专区

腾讯混元专区

腾讯云TCE专区

腾讯云Lighthouse专区

腾讯云HAI专区

腾讯云Edgeone专区

腾讯云存储专区

腾讯云智能专区

腾讯轻联专区 

腾讯云开发专区

TAPD专区

腾讯轻量云游戏服专区

EdgeOne AI 安全实战专区

腾讯云最具价值专家

腾讯云架构师技术同盟

腾讯云创作之星

腾讯云开发者先锋

腾讯云代码助手

云原生构建

TAPD 敏捷项目管理

Cloud Studio

SDK中心

API中心

命令行工具

涵盖代码开发、场景应用、自动测试全流程，助你从零构建专属AI助手

一站式MCP教程库，解锁AI应用新玩法

聚焦“写作效率、视觉美观与运行性能”三方面进行全面升级，为您提供更高效、稳定的创作环境

社区富文本&Markdown编辑器全新改版上线，欢迎大家体验!

诚挚邀请您参与本次调研，分享您的真实使用感受与建议。您的反馈至关重要，感谢您的支持与参与！

腾讯云国际站服务器防火墙配置：ufw与iptables端口限制教程

腾讯云国际站服务器防火墙配置：ufw与iptables端口限制教程

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐