德讯高防云配置高防防火墙，不是把所有端口一律关闭就结束。更稳妥的做法是分两层：先在高防服务商控制台配置边缘防护，再在服务器内部设置主机防火墙。这样即使边缘规则漏掉不必要的入口，主机仍有一道限制；但若攻击流量已经挤满接入带宽，单靠主机规则无法恢复线路，仍要依靠上游清洗和服务商的防护能力。
先列清楚业务需要开放什么
动手前盘点实际对外服务、端口、管理人员的来源地址，以及服务器是否使用 IPv6。普通网站通常需要开放 80、443 端口；远程管理端口只应允许可信管理地址访问。若运行邮件、远程桌面、游戏或自定义 API 服务，则按软件实际监听端口逐项确认，不能照搬网站规则。
高防服务器防火墙的规则应遵循“默认拒绝、按需放行”。不要因端口名称熟悉就开放所有常见服务，也不要把管理端口直接暴露给任意来源。若管理地址会变化，可先准备服务商提供的控制台或带外管理方式，避免白名单更新后失去登录能力。
按边缘、主机两层配置
第一层：设置服务商侧规则
- 在高防产品控制台确认防护对象、回源地址和业务端口，确保回源地址指向当前服务器或负载均衡入口。
- 只放行业务实际使用的端口；管理端口原则上不经公网高防入口对所有来源开放。控制台选项因服务商而异，按其规则说明核对端口方向与协议。
- 启用可用的攻击流量清洗或访问控制策略。若网站前方使用 CDN，应确认源站只接受 CDN 回源地址，避免攻击者绕过 CDN 直连源站。
- 保存规则后先观察业务访问、清洗状态和回源连接，再逐步收紧范围。确认 IPv4、IPv6 是否都配置了对应策略。
第二层：限制主机入站
以已安装 UFW 的 Ubuntu 主机为例，先通过控制台保留救援入口，并将下方“管理IP”替换成实际可信公网地址；如果 SSH 使用非默认端口，要同步替换端口号。逐条执行：
- 查看当前状态：sudo ufw status verbose。
- 设置入站默认拒绝、出站默认允许：sudo ufw default deny incoming，以及 sudo ufw default allow outgoing。
- 只允许指定管理地址连接 SSH：sudo ufw allow from 管理IP to any port 22 proto tcp。
- 按需开放网站端口：sudo ufw allow 80/tcp 和 sudo ufw allow 443/tcp。
- 启用规则并复查：sudo ufw enable，随后运行 sudo ufw status numbered。
上述命令适用于 UFW 已安装且规则尚未造成远程管理冲突的情形；其他发行版或防火墙工具的语法不同，不能直接套用。启用前确认 SSH 放行规则已写入，并保持现有会话，另开一个会话验证登录成功后再退出。
验证效果，避免误封
配置后，从可信管理网络确认远程登录仍可用，从外部网络检查未开放的管理端口是否不可达，并分别访问实际业务入口。对照服务商侧规则、主机监听端口和应用配置，排查“防火墙已放行但服务未启动”或“应用监听在错误地址”等问题。
高防服务器防火墙的限速和地域拦截不宜盲目调严。办公人员出差、移动网络地址变化，或用户使用 IPv6，都可能导致误封。优先收紧管理入口；对公开业务端口，则结合访问日志和服务商提供的策略逐步调整。记录修改时间、规则内容和回退方法，出现异常时先撤销最近变更，而不是连续叠加规则。
常见问题
只配置云端高防规则可以吗？
不建议。云端规则负责入口流量，主机防火墙可限制直连和未授权端口；两层规则应保持一致。
高防后还需要关闭不用的端口吗？
需要。未使用的服务应停止或限制监听，防护层放行不等于该服务没有风险。
攻击期间加严主机防火墙有用吗？
可减少到达主机的连接处理，但若链路带宽已被占满，主机规则无法解决上游拥塞，应联系服务商检查清洗与回源状态。
配置后无法远程登录怎么办？
使用服务商控制台或救援入口检查规则，恢复可信管理地址的放行项；后续变更前先保留现有会话并验证新会话。
归纳来说，高防服务器防火墙应从业务端口清单出发，先设服务商边缘规则，再配置主机入站限制，最后验证访问并准备回滚。按层防护、逐步收紧，比一次性套用宽泛规则更安全。