UFW和宝塔防火墙必须同时启用且独立配置；UFW需手动启用并设默认拒绝，SSH端口须优先放行；宝塔IP黑名单无效于端口扫描，封禁IP必须用ufw deny；端口放行须双侧严格一致，所有规则须用ufw命令持久化。
UFW 和宝塔系统防火墙必须同时启用、各自独立配置，不能只开一个；否则 Censys、Shodan 类扫描器仍能穿透应用层直接打到 SSH 或端口探测层。
确认 UFW 已安装并接管入站规则
宝塔面板在 Ubuntu/Debian 系统上默认不自动启用 UFW，即使你点了「UFW 防火墙」开关，也可能只是 UI 显示开启，底层 ufw status 仍是 inactive。先 SSH 登录，执行：
sudo ufw status verbose
如果返回 Status: inactive，说明宝塔界面的“启用”没生效或被覆盖。此时必须手动运行：
-
sudo ufw default deny incoming（拒绝所有入站，这是安全基线） -
sudo ufw allow OpenSSH或sudo ufw allow 22/tcp（务必先放通 SSH，否则可能锁死） -
sudo ufw enable（真正启动 UFW）
再查一次 ufw status verbose，确认状态为 active，且 22/tcp 在 Allow 列表里。注意：UFW 启用后，宝塔「安全」页里的「系统防火墙」模块可能变灰或报错——这是正常现象，因为宝塔检测到 UFW 已接管，会自动退让，不再操作 iptables 规则。
宝塔「阻止 IP」和 UFW 的规则不是一回事
很多人以为在宝塔「安全」页点「阻止 IP」就等于封了该 IP 的所有流量，其实不是：
- 宝塔「阻止 IP」调用的是
iptables -I INPUT -s x.x.x.x -j DROP，它插在 UFW 规则链之前，但若 UFW 自身已设default deny，这条 iptables 规则反而可能被绕过（取决于 netfilter hook 顺序） - UFW 的规则是通过
ufw deny from x.x.x.x写入/etc/ufw/user.rules，由ufw-framework加载，更稳定、可持久化、支持 IPv6 - 真实攻击者（比如 Censys 的
CensysInspect/1.1UA）常发 SYN 包扫端口，这类请求根本不到 Nginx 层，宝塔的「IP 黑名单」完全无效，只有 UFW 能挡
所以正确做法是：高频恶意 IP（如日志里反复连 /wp-login.php 或爆破 22 端口）优先走 UFW 封禁：sudo ufw insert 1 deny from 192.168.100.55（插在最前面，确保优先匹配）。
放行端口必须双侧对齐，漏一个就等于开门
宝塔「放行端口」列表和 UFW 的 allow 规则必须严格一致。常见错误是：
- 宝塔里开了
3306，但 UFW 没allow 3306→ 数据库连不上 - UFW 里允许了
8888（宝塔端口），但宝塔「IP 白名单」没开 → 用户访问面板时被 403，还以为是防火墙问题 - 云厂商安全组开了
0.0.0.0/0:80，UFW 却没allow 80→ 流量卡在系统层，网站打不开
验证方法很简单：分别执行
sudo ufw status numbered
和
bt 11
（宝塔命令行工具查看当前放行端口），逐条比对。特别注意 Redis（6379）、MongoDB（27017）、宝塔面板端口（默认 8888，建议改掉）这些非 Web 端口——它们一旦暴露，就是第一攻击入口。
别信「自动同步」，UFW 规则要手动持久化
UFW 默认规则重启后不会丢失，但如果你用 iptables -I 或宝塔「阻止 IP」加的规则，重启服务器后就没了。而很多用户误以为宝塔界面点了「阻止 IP」，UFW 就会自动写进 /etc/ufw/user.rules，其实不会。
所以关键动作只有两个：
- 所有封禁 IP 必须用
sudo ufw deny from x.x.x.x，而不是依赖宝塔按钮 - 所有放行服务必须用
sudo ufw allow ...，不要只靠宝塔「放行端口」列表
最后执行 sudo ufw reload 确保加载最新规则。检查是否生效，最直接的方式是换一台机器，用 telnet your-server-ip 22 和 telnet your-server-ip 3306 分别测试——前者应通，后者应拒。
