很多人配完云平台的安全组就以为万事大吉，其实系统内的防火墙是另一道独立防线：安全组管"楼栋门禁"，系统防火墙管"自家防盗门"，两层都设防才是稳态。
两大阵营
CentOS/RHEL 系用 firewalld，Ubuntu/Debian 系用 ufw，思路一样、命令不同，挑自己系统对应的记就行。
ufw：简单到发指
ufw allow 80/tcp
ufw allow 443/tcp
ufw enable三条命令放行网站端口并开启防火墙，ufw status 随时查看规则列表。
firewalld：稍繁但更强
firewall-cmd --permanent --add-port=80/tcp
firewall-cmd --permanent --add-port=443/tcp
firewall-cmd --reload注意少了 permanent 参数规则就不持久，重启后失效，这个坑无数人踩过。
配置原则
- 先放行 SSH 端口再启用防火墙，顺序错了当场把自己锁在门外
- 数据库、缓存端口默认拒绝，内网调用不受影响
- 改完规则从外部实际测一遍端口，眼见为实