开启防火墙只允许特定 IP 访问海外 VPS 端口，最推荐直接在操作系统层配置 firewalld、ufw 或 Windows 防火墙，并将默认策略设为拒绝所有入站。适用场景为固定办公 IP 管理服务器，风险边界在于配置错误可能导致管理员自身被锁在门外，务必保留控制台访问权限。
先说结论：通过系统防火墙设置白名单是限制端口访问的有效手段，但必须优先确保管理通道畅通。
- 先判断：确认当前管理 IP 是否固定，动态 IP 环境建议配合云服务商安全组使用。
- 优先做：在放行特定 IP 前，先添加当前会话 IP 的临时规则，防止配置过程中断连。
- 再验证：配置完成后使用外部网络工具测试端口连通性，确认非白名单 IP 无法访问。
命令速用版
Linux 系统常用 firewalld 或 ufw，Windows 系统使用 PowerShell 或图形界面，以下是基础放行特定 IP 的命令示例。
CentOS/RHEL (firewalld):
添加规则：firewall-cmd `--permanent` `--add-rich-rule`='rule family="ipv4" source address="1.2.3.4" port port="22" protocol="tcp" accept'
重载配置：firewall-cmd `--reload`
Ubuntu/Debian (ufw):
允许特定 IP：ufw allow from 1.2.3.4 to any port 22
启用防火墙：ufw enable
Windows Server (PowerShell):
新建规则：New-NetFirewallRule -DisplayName "Allow Specific IP" -Direction Inbound -LocalPort 22 -Protocol TCP -Action Allow -RemoteAddress 1.2.3.4
为什么会这样
默认开放的端口会暴露给全网扫描，限制特定 IP 能大幅减少暴力破解和漏洞利用尝试。防火墙作为网络安全的第一道防线，能够监控和控制进出服务器的网络流量，通过配置防火墙规则，您可以限制不必要的端口访问，只允许特定的 IP 地址或网络访问关键服务，从而大大降低安全风险。
分步处理
操作前请确保拥有服务器控制台（VNC/Console）访问权限，以防网络配置错误导致无法远程连接。
1. 确认防火墙状态
Linux 系统默认预装防火墙，先确认状态。CentOS/RHEL 使用 systemctl status firewalld，Ubuntu/Debian 使用 sudo ufw status。显示 active 即运行，inactive 则需开启。
2. 设置默认策略
建议将输入链（INPUT）的默认策略设置为 DROP 或 REJECT，这意味着所有未经明确允许的入站连接都将被拒绝。在修改防火墙规则前，一定要确保当前会话不会被中断。
3. 添加白名单规则
根据实际需求把需要允许 IP 填进去。Windows 用户可打开控制面板—系统和安全-Windows 防火墙，左侧选择高级设置，找到防火墙开启的端口右键点击属性，选择作用域，在远程 IP 地址里选择下列 IP 地址并添加。
4. 放行核心业务端口
除管理 IP 外，需开放业务必需端口，常见必开端口仅 3 个：80(HTTP)、443(HTTPS)、自定义 SSH 端口，其余端口一律封禁，减少攻击面。
5. 保存并应用
Linux 使用 firewall-cmd `--reload` 或 ufw enable 生效，Windows 点击应用并确定。配置完成后不要立即关闭当前远程会话，先新开一个终端测试连接。
怎么验证是否生效
使用非白名单 IP 的设备尝试连接服务器端口，确认连接超时或被拒绝。Linux 系统可使用 telnet 命令测试端口连通性，或通过 nmap 工具进行端口扫描，识别当前开放的 TCP/UDP 端口及其关联服务。Web 服务可通过浏览器访问 http://服务器 IP:端口 观察响应状态。
常见坑
1. 自身 IP 被锁：办公网络使用动态 IP 时，IP 变化会导致无法访问，可能需要考虑使用专用网络连接或其他解决方案来确保稳定的访问权限，或放宽至网段。
2. 双重防火墙冲突：云服务商安全组 + 系统防火墙 + 面板防火墙三层联动，若安全组未放行，系统防火墙配置无效，需检查云平台控制台网络设置。
3. 默认端口暴露：修改所有默认端口 (SSH 22、宝塔 8888、phpMyAdmin 3306)，避免黑客通过默认端口精准扫描攻击。
常见问题
配置错误导致无法远程连接怎么办？
立即通过云服务商提供的网页控制台（VNC/Console）登录服务器，关闭防火墙或清除错误规则，恢复默认放行策略。
云安全组和系统防火墙需要同时配置吗？
建议同时配置，云安全组拦截基础流量，系统防火墙过滤端口，面板防火墙防护应用层攻击，缺一不可，实现多层防护。
限制 IP 会影响网站访问速度吗？
防火墙规则匹配消耗极小资源，正常业务场景下不会对网站访问速度产生可感知的影响，主要取决于网络带宽质量。
参考来源
- 美国 VPS 通过防火墙实现端口仅允许特定 IP 访问
- 香港 vps 服务器如何配置防火墙更安全_端口_面板_防护
- VPS 海外环境下 Windows 防火墙高级规则配置指南
- VPS 服务器购买后的防火墙规则配置
- 海外 VPS 的防火墙及安全设置技巧