设置服务器入站规则是保障网络安全的第一道防线，其核心原则在于“默认拒绝，明确允许”，这意味着，除了服务器必须提供服务的端口（如Web服务的80或443端口）以及管理端口外，所有其他未经授权的端口和IP访问都应被防火墙拦截，通过精确配置入站规则，管理员可以有效防止未授权访问、恶意扫描以及勒索病毒的横向传播,确保服务器在最小权限原则下稳定运行。
理解入站规则与安全基线
入站规则是指防火墙用于控制进入服务器流量的策略，当外部数据包试图到达服务器时，防火墙会根据预设的规则列表逐一匹配，决定是放行还是丢弃。构建安全基线的首要任务是识别业务需求，一台Web服务器仅需开放80（HTTP）和443（HTTPS）端口供公网访问，而数据库服务器（如MySQL默认的3306端口）通常不应直接暴露在公网，仅允许内网特定IP访问，错误的入站配置往往会导致服务器沦为黑客的肉鸡或遭受DDoS攻击，专业的配置必须从梳理业务端口开始，坚决关闭非业务必需的高危端口，如445（SMB）、135（RPC）等,这些端口常被勒索病毒利用。
Windows Server防火墙配置实战
在Windows Server环境中，主要通过“高级安全Windows防火墙”进行管理,配置过程应遵循严谨的步骤以防止误操作导致服务中断。
打开“高级安全Windows防火墙”，点击“入站规则”，在配置新规则之前，建议先查看现有的规则，禁用所有不必要的预置规则，对于需要新增的服务，点击“新建规则”，选择“端口”规则类型，在“协议和端口”界面，选择TCP或UDP，并输入特定的本地端口（例如80），在“操作”界面，选择“允许连接”，最关键的一步在于“配置文件”，建议根据服务器的网络位置勾选，如果服务器位于公网（如云服务器），通常取消“公用”配置文件的勾选，或者仅对特定服务开放公用配置文件，以减少攻击面，为规则命名以便于后续管理，Allow Web HTTP”。
对于远程管理，强烈建议限制RDP（3389）端口的来源IP，在创建RDP入站规则时，在“作用域”选项卡中，将“远程IP地址”设置为管理员特定的公网IP地址或VPN网段，而非默认的“任何IP地址”,这一措施能阻断绝大多数针对Windows系统的暴力破解攻击。
Linux服务器防火墙配置策略
Linux服务器通常使用iptables、firewalld或ufw（Uncomplicated Firewall）进行管理，对于CentOS/Alibaba Cloud Linux等系统，firewalld是主流工具；而Ubuntu/Debian系统则常用ufw。
使用firewalld时，首先需要将网卡添加到信任的区域（如public或trusted区域）。核心命令逻辑是先放行必要端口，再启用防火墙，否则会导致管理员被锁在服务器之外，执行firewall-cmd --permanent --add-service=http和firewall-cmd --permanent --add-service=ssh，随后执行firewall-cmd --reload使规则生效，对于非标准端口，可以使用--add-port=端口号/tcp的方式添加。
在使用ufw时，操作更为直观，执行ufw allow 80/tcp和ufw allow 22/tcp分别开放Web和SSH服务。至关重要的安全策略是修改默认SSH端口，编辑/etc/ssh/sshd_config文件，将Port 22改为一个随机的高位端口（如2222），然后在防火墙中开放该新端口并关闭22端口，这种“隐匿式”防御配合防火墙规则，能显著降低自动化脚本攻击的成功率，配置完成后，使用ufw enable激活防火墙。
云安全组与系统防火墙的双重防护
对于部署在阿里云、腾讯云或AWS等云平台上的服务器，存在两层防护：云厂商提供的“安全组”和服务器内部的“系统防火墙”。安全组属于有状态虚拟防火墙，优先级通常高于系统防火墙。
在配置入站规则时，必须遵循“内外有别”的原则，在安全组层面，配置对外提供服务的端口（80/443）允许0.0.0.0/0（全网）访问；而对于SSH（22）或RDP（3389），必须配置为仅允许特定的公网IP地址段访问，系统内部防火墙则作为第二道防线，用于防御内网环境的横向渗透，即使安全组开放了端口，如果内部iptables规则拒绝了该流量，数据依然无法进入，这种双重防护机制符合深度防御的安全理念,是专业运维的标准配置。
高级安全策略与维护
配置入站规则并非一次性工作，持续的维护和审计同样重要。定期审查防火墙日志是发现潜在入侵尝试的有效手段，在Windows中，可以查看防火墙的审计日志；在Linux中，可以使用工具如grep分析/var/log/messages或/var/log/secure文件,寻找被拒绝的频繁请求IP。
实施IP封禁列表（Geo-blocking）也是一种进阶策略，如果业务仅面向国内用户，可以在防火墙或安全组中屏蔽海外已知的高风险IP段，这能大幅减少来自国外的恶意扫描和噪音流量，对于遭受攻击的服务器，应具备快速响应能力，利用脚本一键封禁攻击源IP，并临时调整入站规则，限制连接频率（如使用recent模块限制每分钟连接数）,以缓解DDoS攻击带来的压力。
相关问答
问：如果配置入站规则后无法连接服务器了，应该如何处理？
答：这种情况通常是因为管理端口（如SSH的22端口或RDP的3389端口）被错误阻断，或者来源IP限制设置过严，对于云服务器，绝大多数厂商提供“VNC连接”或“管理终端”功能，通过网页控制台直接登录服务器底层，该功能绕过了网络层面的防火墙和安全组限制，登录后，检查防火墙服务状态,修改规则或重置防火墙配置即可恢复。
问：服务器防火墙入站规则和出站规则有什么区别，出站规则需要设置吗？
答：入站规则控制外部进入服务器的流量，主要为了防御攻击；出站规则控制服务器访问外部的流量，主要为了防止数据泄露和中毒后的横向传播。出站规则同样非常重要，建议采用“默认允许”策略，但禁止服务器访问已知的恶意IP域名，对于高安全性要求的环境，应设置为“默认拒绝”，仅允许服务器访问更新源、DNS服务器和业务必须的第三方API，这样即使服务器被攻陷,黑客也无法向外传输窃取的数据。
希望以上配置方案能帮助您建立起坚固的服务器防线，如果您在设置过程中遇到特定操作系统的疑难问题，欢迎在评论区留言,我们将为您提供更具体的排查建议。
