误加DROP规则后需先用iptables -L --line-numbers定位并用iptables -D INPUT 行号删除，而非仅改默认策略；firewalld需区分临时/永久操作并配对移除；ufw须用ufw status numbered查编号后ufw delete编号删除；共通要点是规则顺序、IPv4/IPv6分离、云安全组及SELinux拦截。
iptables 被误加 DROP 规则后怎么紧急恢复
直接执行 iptables -P INPUT ACCEPT 并不能立刻放行已封端口，因为链默认策略（POLICY）只对**没有匹配任何规则的包**生效。你加的 DROP 规则还在前面挡着，包根本到不了默认策略。
正确做法是定位并删掉那条规则：
- 先用
iptables -L --line-numbers查看带行号的规则列表，重点关注INPUT链里目标为DROP且含端口号（比如dpt:22）的项 - 确认行号后，用
iptables -D INPUT 5（把5换成实际行号）删除——注意-D后跟链名和行号，不是规则内容 - 删完立刻测试连接，别等“重启服务”或“重载配置”，规则是实时生效的
- 如果记不清加了哪条、又不敢手动删，最稳的是
iptables -F INPUT清空整个链（但会连 SSH 规则也清掉，务必确保有控制台直连或带超时自动放行的备用通道）
firewalld 误封端口后 reload 不起作用的原因
firewall-cmd --reload 看似万能，但它只重载 /etc/firewalld/zones/ 下的配置文件，不回滚你刚手动执行的 --add-port 或 --remove-service 命令。那些是运行时临时变更，reload 反而会让它们“固化”进当前 session。
解封关键在区分操作类型：
- 如果是刚用
firewall-cmd --permanent --add-port=8080/tcp封的，得配对执行firewall-cmd --permanent --remove-port=8080/tcp再--reload - 如果只是临时加的（没加
--permanent），直接firewall-cmd --remove-port=8080/tcp就行，不用 reload - 不确定是否永久？查
firewall-cmd --list-all（显示运行时）和firewall-cmd --list-all --permanent（显示磁盘配置），对比差异
ufw 误设 deny 后连不上 SSH 怎么办
ufw 的 deny 规则优先级高于 allow，哪怕你后面写了 ufw allow 22，只要 deny 规则行号更小，SSH 还是被拦。而且 ufw 默认启用 LOG，但日志不显式告诉你哪条规则命中了——容易误判。
实操要点：
- 用
ufw status numbered看带编号的规则列表，找到deny行号（比如[ 3] Anywhere DENY 22） - 删它：
ufw delete 3（数字对应编号，不是规则内容） - 别信 “ufw reset”，它会清空所有规则+禁用 ufw，但如果你依赖 ufw 管理其他服务，这等于全盘脱保
- 删完立刻
ufw status确认 22 端口出现在ALLOW行里，再试连
所有防火墙共通的「看不见的坑」
很多解封失败，不是命令写错，而是忽略了底层机制：
- 规则顺序决定一切：iptables/firewalld/ufw 全部按顺序匹配，
DROP或deny出现在ACCEPT或allow前面，就永远卡死 - IPv4 和 IPv6 是两套独立规则：封了
iptables但没动ip6tables，IPv6 连接照常；反之亦然。查ip6tables -L或firewall-cmd --list-all --zone=public --permanent看是否启用了 IPv6 zone - 云服务器额外有安全组：本地防火墙开了 22，但阿里云/腾讯云后台安全组没放行，照样连不上。先确认云平台控制台里的入方向规则
- SELinux 或 AppArmor 可能拦截：
ausearch -m avc -ts recent查 AVC 拒绝日志，别只盯着防火墙
端口不通时，一层层剥开比瞎试命令快得多。先确认请求到底卡在哪一层，再动手。
