解封ip必须用-d或-f命令删除规则，-a/-i仅追加不覆盖；-d支持按内容或行号精确删除，-f清空整链但需谨慎；ufw解封须查编号后ufw delete，无直接unban命令。
iptables解封IP：必须用-D或-F，-A/-I不会覆盖旧规则
iptables没有“覆盖”概念，iptables -A INPUT -s 1.2.3.4 -j ACCEPT不会让之前的DROP失效——它只是追加一条新规则，而匹配顺序是从上到下，DROP若在前面，连接仍被丢弃。
正确解封只靠两条命令：
-
iptables -D INPUT -s 1.2.3.4 -j DROP：按规则内容精确删除（推荐，不依赖行号） -
iptables -D INPUT 5：按行号删除（需先用iptables -L INPUT -n --line-numbers查出编号） - 若记不清规则细节，可先
iptables -F INPUT清空整个链（慎用，会清掉所有入站规则）
注意：-D不是“disable”，是“delete”；-I和-A都只能加规则，不能改或删。
ufw解封IP：得先查规则编号再删，不能只靠allow命令
ufw allow from 1.2.3.4不是解封，是放行——它会在底层iptables里加一条ACCEPT规则，但原有DROP还在，结果仍是拒绝。
ufw的封禁本质是插入REJECT或DROP规则，解封必须删掉那条规则：
- 列出所有规则并带编号：
ufw status numbered - 找到对应IP的那行（如
[ 3] Anywhere DENY 1.2.3.4），执行：ufw delete 3 - 若规则太多，可用
sudo ufw status verbose | grep 1.2.3.4快速定位
ufw不支持按IP直接删除，也没有ufw unban这种命令，编号删除是唯一可靠方式。
解封后规则不生效？检查是否漏了持久化或链顺序
即使iptables -D成功，SSH还是连不上，常见原因有三个：
- 规则没保存：重启后恢复原状。Debian/Ubuntu运行
iptables-save > /etc/iptables/rules.v4；CentOS 6用service iptables save；CentOS 7+需用iptables-services包配合systemctl enable iptables - 白名单规则位置错：比如
iptables -A INPUT -m set --match-set whitelist src -j ACCEPT写在DROP规则之后，那白名单就无效。用iptables -L INPUT -n --line-numbers确认顺序 - 封的是整个端口而非IP：例如
ufw deny 22会封所有IP的SSH，此时解封单个IP无意义，得删掉端口级规则
误封自己又没控制台？预埋自解封脚本比后悔有用
如果只有SSH通道、没VPS控制台或KVM，被封后无法登录，就只能靠提前部署的自救机制：
- 不要用
crontab跑iptables -D——cron进程本身受INPUT链限制，可能根本触发不了 - 改用
at now + 2 minutes或systemd-run --on-active=120，它们能绕过shell网络约束，在netfilter生效前插入iptables -I INPUT 1 -s YOUR_IP -j ACCEPT - 脚本里所有命令必须用绝对路径：
/sbin/iptables、/usr/sbin/ufw，避免PATH失效 - 脚本不能依赖
curl、hostname -I等可能失败的命令，IP应硬编码或从/proc/net/fib_trie安全读取
真正卡住人的从来不是“怎么删规则”，而是删完发现规则早被覆盖、没保存、或压根不在当前链里——动手前先iptables -t filter -L INPUT -n --line-numbers看全貌，比盲删安全十倍。
