统信UOS需通过ufw、firewall-cmd或安全中心实现IP访问控制：ufw适用于桌面版，逐条添加白名单规则；firewall-cmd富规则适用于Server版，支持子网与永久生效；安全中心图形界面可一键封禁恶意IP。
当统信UOS上运行着Web、数据库或远程桌面等本地服务时，若仅允许内网管理机访问而拒绝其他所有来源的连接请求，就必须精准限制特定IP地址的入站访问权限，否则服务将暴露在不可控网络环境中。
用ufw设置IP白名单规则（推荐日常使用）
ufw是统信UOS桌面版默认启用的防火墙前端，语法简洁、规则自动持久化，适合快速建立可信源访问控制。
第一步：确认ufw已启用，执行sudo ufw status verbose。若显示inactive，立即运行sudo ufw enable激活防火墙。
第二步：开放目标端口的同时限定源IP。例如只让192.168.5.10访问本机3306端口（MySQL），执行：sudo ufw allow from 192.168.5.10 to any port 3306 proto tcp。
第三步：若需允许多个IP，必须逐条添加——ufw不支持单条命令写多个IP。比如再加192.168.5.11，则补一条：sudo ufw allow from 192.168.5.11 to any port 3306 proto tcp。
第四步：执行sudo ufw reload使新规则立即生效。此时除上述两个IP外，任何其他地址尝试连接3306端口都会被静默拒绝。
用firewall-cmd配置富规则（适用于UOS Server）
firewalld在UOS Server版本中更常用，其rich rule支持IPv4/IPv6双栈、协议+端口+源IP三重条件匹配，策略更严谨。
方法一：直接添加永久性富规则
运行命令：sudo firewall-cmd --zone=public --add-rich-rule='rule family="ipv4" source address="10.0.30.88" port port="8080" protocol="tcp" accept' --permanent。
【注意：必须带--permanent参数，否则重启后规则丢失】
方法二：批量放行整个子网
如允许172.16.20.0/24网段访问RDP（3389端口），命令为：sudo firewall-cmd --zone=public --add-rich-rule='rule family="ipv4" source address="172.16.20.0/24" port port="3389" protocol="tcp" accept' --permanent。
最后一步：执行sudo firewall-cmd --reload加载全部永久规则，完成生效。
图形界面一键封禁恶意IP（应急响应场景）
当发现某IP正在暴力扫描SSH或发起异常连接时，无需记命令，直接通过安全中心拉黑该地址，操作即时生效。
打开任务栏启动器 → 搜索“安全中心” → 启动应用。
点击左侧【高级设置】→ 切换到【IP黑名单】标签页。
点击“添加IP”，输入要封锁的IPv4地址（如203.0.113.99），支持单个IP、CIDR网段（如192.168.100.0/24）或英文逗号分隔的多个IP。
点击“确认”，系统立即拦截该IP的所有入站和出站通信，无需重启服务或重载规则。
