配置防火墙规则时，先问清楚每个端口对应什么服务、谁需要访问，以及服务是否必须对公网开放。服务器防火墙规则配置与攻击防护的重点，不是尽可能多地封端口，而是让每条允许规则都能对应明确的业务需求，并定期复核。
先画出服务与访问关系
不要直接复制一份通用端口表。先盘点服务器上实际运行的服务，记录协议、监听端口、访问方和用途；再确认哪些流量来自互联网、哪些仅在内网或管理网中传递。攻击面不仅包括开放端口，也包括端口背后可被访问的服务和管理入口。
- 网站：只有确实提供网页访问时，才开放 TCP 443；若仍需 HTTP，可开放 TCP 80，并按站点设计决定是否跳转到 HTTPS。
- 远程管理：Windows 远程桌面使用 TCP 3389 时，通常应限制到可信管理网段，而不是允许任意来源访问。
- 数据库：Microsoft SQL Server 常见连接端口为 TCP 1433。若数据库只供应用服务器调用，应仅允许相应内网来源，不应因方便而对公网开放。
端口号只是定位线索，实际配置还要核对服务监听地址、部署方式和业务依赖。端口白名单应写明用途、来源和负责人；无法说明用途的规则，先核实再决定是否保留。
按默认拒绝、必要放行设计规则
服务器防火墙规则配置与攻击防护通常采用“默认拒绝未明确允许的流量”。入站规则决定外部能否连接服务器；出站规则控制服务器主动访问外部。对多数单一业务主机，入站策略往往最先梳理；出站限制则适合有明确依赖清单、能够持续维护的环境，设置过严可能中断更新、监控或业务调用。
| 规则类型 | 建议核对 | 常见风险 |
|---|---|---|
| 入站规则 | 目的端口、协议、来源地址、服务用途 | 管理端口向所有来源开放 |
| 出站规则 | 目标服务、访问目的和业务依赖 | 规则过宽，或未验证就阻断必要连接 |
| 临时规则 | 负责人、到期时间、撤销方式 | 临时放行长期遗留 |
优先使用最小权限：规则只覆盖实际需要的协议、端口和来源范围。若管理人员有固定办公出口地址，可将远程管理限制到该地址或受控网段；若来源经常变化，应先设计可靠的管理通道和应急访问方式，而不是永久扩大白名单。
按顺序实施，避免把自己锁在门外
- 备份现有规则。记录规则名称、方向、端口、来源范围及用途；确认拥有云平台控制台或其他带外恢复方式。
- 先添加必要允许项。保留当前管理连接所需的访问，再新增经过确认的业务白名单；不要先删除旧规则或直接启用全局拒绝。
- 分批收紧范围。先限制高风险管理端口，再处理业务服务。每次只改一组相关规则，并观察连接、应用日志和监控告警。
- 从实际来源验证。分别测试授权来源和未授权来源；确认网页、管理连接及服务间调用正常，同时检查不需要的端口确实无法访问。
- 清理并留痕。删除已停用服务对应的规则，为例外项记录理由与复核日期；变更后保留回退方案。
使用 Windows Defender Firewall 等主机防火墙时，先确认当前网络配置文件和规则作用范围；若服务器还受云平台网络访问控制管理，应同时核对主机规则与平台侧规则。两层策略叠加时，任何一层拒绝都可能导致连接失败。
用复核机制保持规则有效
服务器防火墙规则配置与攻击防护不是一次性工作。新增服务、迁移主机或调整管理来源后，都应更新规则清单。可按变更频率设定复核周期，例如每月或每季度检查一次；这只是维护安排的参考，规则变化频繁的环境需要更及时地复核。
复核时重点看三类问题：规则是否仍对应运行中的服务，来源范围是否比实际需求更大，临时放行是否已经到期。结合防火墙日志和应用日志定位异常连接，但要避免只凭单条拒绝记录就扩大开放范围。服务器防火墙规则配置与攻击防护的核心，是让白名单可解释、可验证、可撤销。
常见问题
端口没有服务监听，还需要放行吗？
通常不需要。先确认服务是否确实停用；若后续有明确用途，再按变更流程添加规则。
管理端口能否对所有来源开放？
除非有明确且经过评估的需求，否则不建议。应限制到可信来源，并准备可用的应急管理方式。
只配置主机防火墙是否足够？
不一定。还需确认云平台或网络设备上的访问控制是否放行，且两层规则的来源和端口设置一致。
多久检查一次规则？
没有适用于所有环境的固定周期。可按月或按季度安排常规复核，并在服务、主机或网络访问方式发生变化时及时检查。