根本原因是防火墙默认拦截入站流量；必须启用ufw、firewalld或安全中心任一防火墙组件，再开放端口（如80/tcp、3306/tcp）或限制ip（如仅允192.168.5.20访问3389），否则服务不可达。
外部设备无法连接统信UOS上运行的Web服务、数据库或远程桌面，根本原因是防火墙默认拦截所有入站流量；必须明确启用某一层防火墙组件，并按需开放端口或限制IP，否则服务始终对外不可达。
用ufw命令行快速启用并开放端口
这是桌面版最常用的方法，适合日常防护和快速调试，规则自动持久化，无需记忆复杂语法。
第一步：以管理员身份打开终端（Ctrl+Alt+T）。
第二步：执行sudo apt install -y ufw安装ufw（若已安装则跳过）。
第三步：运行sudo ufw enable启用防火墙并设为开机自启；【这一步必须执行，否则后续规则不生效】。
第四步：开放HTTP端口——执行sudo ufw allow 80/tcp；若同时需要HTTPS，再执行sudo ufw allow 443/tcp。
第五步：验证规则是否写入——运行sudo ufw status numbered，确认列表中出现对应编号条目；【若显示Status: inactive，请勿跳过第三步】。
用firewall-cmd配置firewalld区域化规则
适用于UOS Server或需精细控制策略的场景，规则绑定到public等区域，支持富规则和动态重载。
方法一：启动并确认服务状态
执行sudo systemctl start firewalld启动服务 → 再执行sudo systemctl enable firewalld设为开机自启 → 最后运行sudo firewall-cmd --state，返回running才算成功。
方法二：向public区域永久添加端口
执行sudo firewall-cmd --zone=public --add-port=3306/tcp --permanent开放MySQL端口；【务必加上--permanent参数，否则重启后规则丢失】。
执行sudo firewall-cmd --reload使新规则载入内核；这一步不可省略，否则规则仅存在于配置文件中，未生效。
方法三：添加富规则限制源IP
允许特定IP访问RDP端口：执行sudo firewall-cmd --zone=public --add-rich-rule='rule family="ipv4" source address="192.168.5.20" port port="3389" protocol="tcp" accept' --permanent。
这条命令会精确匹配IPv4流量，仅放行来自192.168.5.20的TCP 3389连接，其他任何来源均被拒绝。
通过图形化安全中心一键开启基础防护
适合不熟悉命令行的用户，操作直观，状态实时可见，底层调用的是ufw接口。
点击任务栏启动器 → 在搜索框输入“安全中心”并打开应用 → 左侧导航栏选择“网络安全”或“防火墙防护”。
若右侧显示“防火墙已关闭”，直接点击开启按钮；部分版本会弹出权限确认框，需输入当前用户密码完成提权操作。
开启成功后，状态标签应变为“已启用”，并显示默认防护级别（如“标准防护”）。
