外部设备连接被拒主因是统信UOS默认未封锁高危端口，须同步在UFW（执行sudo ufw deny 22/tcp等）、firewalld（用--remove-port加--permanent后reload）及安全中心（关闭实时防护）三层封禁，缺一不可。
外部设备尝试连接统信UOS上的SSH、MySQL或Web服务时被拒绝，常因系统默认未封锁高危端口所致；需在UFW、firewalld、安全中心三层机制中分别执行禁止规则，缺一不可，否则攻击者仍可通过未拦截层建立连接。
用UFW屏蔽高危端口
这一步操作起来很简单，直接在终端输入命令即可生效，适用于桌面版和Server版通用场景。
第一步：确认UFW已启用，执行sudo ufw status verbose，若显示Status: inactive，则先运行sudo ufw enable激活防火墙。
第二步：禁止TCP 22端口（SSH），执行sudo ufw deny 22/tcp；该规则优先级高于allow规则，能确保即使开放了其他端口，SSH仍被阻断。
第三步：禁止TCP 3306端口（MySQL）和TCP 5900端口（VNC），分别执行sudo ufw deny 3306/tcp与sudo ufw deny 5900/tcp。注意：UFW不支持单条命令批量禁用多个端口，必须逐条执行。
第四步：验证是否生效，运行sudo ufw status numbered，检查输出中22、3306、5900对应行的Action列是否为DENY。
用firewall-cmd封禁高危端口
若系统运行firewalld（常见于Server版），UFW的deny规则对其完全无效，必须单独处理。
方法一：临时封禁——执行sudo firewall-cmd --zone=public --remove-port=22/tcp，再依次执行--remove-port=3306/tcp和--remove-port=5900/tcp。此操作仅在当前会话有效，重启后恢复。
方法二：永久封禁——在每条remove-port命令后追加 --permanent，例如sudo firewall-cmd --zone=public --remove-port=22/tcp --permanent，然后必须执行sudo firewall-cmd --reload使配置落地。不执行reload，所有--permanent操作均不生效。
关闭安全中心实时防护（关键补漏步骤）
即使UFW和firewalld都已封禁端口，安全中心仍会独立拦截入站连接，尤其对22、3306、5900等端口有默认防御策略。
点击任务栏启动器→搜索“安全中心”→单击打开程序。
进入左侧导航栏，点击“安全防护”→在右侧“防护总览”页面找到“实时防护”开关。
点击开关将其置为关闭状态，弹窗提示“关闭后将不再监控恶意行为”，点击“确定”完成停用。
【必须关闭实时防护，否则22端口仍会被静默拦截，且无日志提示】
