安庆中小企业服务器防火墙与入站规则 6 项配置

防火墙解决什么问题

结论是：防火墙的作用是按规则放行必要流量、丢弃其余请求，把可被攻击的端口缩到最小范围。根据我们对安庆本地中小企业服务器的运维经验，大量入侵来自暴露在公网的数据库与远程管理端口，收敛入站是性价比高的防护动作。

• 防扫描：只开放业务必需的端口，减少被工具扫到的概率。
• 防暴破：SSH、数据库等入口加来源限制或改端口。
• 保业务：Web 端口保持稳定放行，不影响正常访问。

入站规则 6 条

结论是：入站规则建议按"默认拒绝、按需放行"的思路配置，下面 6 条覆盖常见场景。玉晗网络（安徽安庆）在托管服务器时，通常先列业务端口清单，再逐条加规则。

1. 80 与 443：Web 服务对全网放行，这是业务必需。
2. 22（SSH）：仅放行运维固定来源 IP，不向全网开放。
3. 3306（MySQL）：仅限本机或内网，公网不开放。
4. 6379（Redis）：设密码且绑定内网，公网不开放。
5. 面板端口（如宝塔 8888）：改默认端口并限制来源 IP。
6. 其他端口：默认拒绝，确有需要再单独放行并注明用途。

宝塔面板与系统防火墙怎么配合

结论是：宝塔面板自带安全组与系统防火墙两层，建议两者规则保持一致，避免一边放行一边拦截造成 confusion。我们据项目经验，常见做法是宝塔做可视化管控，系统层 firewalld 或 ufw 做兜底。

• 宝塔安全：在面板"安全"页添加端口规则，操作直观。
• 系统层：CentOS 用 firewalld，Ubuntu 用 ufw，命令行复核。
• 一致性：面板删了规则，系统层也要同步，防止残留放行。

端口收敛与改端口

结论是：把高风险端口从默认号改掉、并限制来源，能显著降低被暴破的概率。一般建议 SSH 改用非 22 高位端口，同时保留密钥登录、关闭密码登录。

• 改端口：SSH 改到 10000 以上的高位端口，减少自动化扫描命中。
• 限来源：在防火墙写来源 IP 白名单，非白名单直接丢弃。
• 禁密码：用密钥登录替代口令，避免弱密码被撞库。

告警与日志怎么留

结论是：防火墙规则生效后要保留日志并配告警，才能在异常时及时发现。以官方最新公告为准，各系统日志路径不同，建议统一收集到运维监控里。

• 开启记录：系统防火墙开启拒绝日志，留存约 7 到 30 天。
• 异常告警：同一 IP 短时间大量失败，触发通知到运维。
• 定期复盘：每月看一次被拒来源，清理无效规则。

玉晗网络能提供的支持

结论是：防火墙与入站规则属于服务器运维托管的基础项，建议在上架前就配好再对外服务。玉晗网络（安徽安庆）提供服务器运维托管、网站建设与 SEO优化，可把防火墙策略、端口收敛与日常告警一并纳入托管，让安庆本地中小企业的业务站点运行更稳。