需通过策略配置实现端口级阻断：一、用firewalld永久移除端口（如sudo firewall-cmd --permanent --remove-port=53/tcp）并重载；二、用ufw deny命令拒绝入站；三、调用kylin-firewall原生命令；四、通过安全中心图形界面新建拒绝规则。

如果您在银河麒麟操作系统中已启用防火墙，但需要阻止特定端口的通信（例如禁用53端口以限制DNS查询，或封禁135-139/445等高危端口），则需通过策略配置实现端口级阻断，而非关闭整个防火墙服务。以下是多种可行的端口关闭方法：

一、使用firewalld命令行封禁指定端口

该方式基于systemd管理的firewalld服务，支持动态重载规则且不中断现有连接，适用于桌面版与服务器版，是当前主流Kylin V10版本推荐的端口管控手段。

1、打开终端，确认firewalld服务处于运行状态：sudo systemctl status firewalld，输出应含active (running)。

2、执行永久性端口封禁命令（以封禁TCP 53端口为例）：sudo firewall-cmd --permanent --remove-port=53/tcp。

3、若需同时封禁UDP 53端口，追加命令：sudo firewall-cmd --permanent --remove-port=53/udp。

4、重载防火墙配置使规则生效：sudo firewall-cmd --reload。

5、验证端口是否已移除：sudo firewall-cmd --list-ports，输出中不应再出现53/tcp或53/udp。

二、通过ufw工具拒绝特定端口入站流量

该方式适用于预装ufw的Kylin Desktop V10 SP1及后续版本，采用默认拒绝策略模型，适合快速实施端口级访问控制。

1、在终端中检查ufw当前状态：sudo ufw status verbose，确认Status为active。

2、添加拒绝规则（以阻止所有对TCP 445端口的入站请求为例）：sudo ufw deny 445/tcp。

3、如需拒绝UDP 445端口，执行：sudo ufw deny 445/udp。

4、启用规则并保存：sudo ufw enable（若此前已启用则无需重复）。

5、查看当前规则列表以确认新增条目：sudo ufw status numbered。

三、调用kylin-firewall原生命令封禁端口

该方法直接操作KYSEC安全子系统中的原生防火墙组件，规则写入内核层，适用于信创合规环境或需审计留痕的场景。

1、以root身份进入终端，检查服务运行状态：systemctl status kylin-firewall。

2、若服务未运行，先启动：systemctl start kylin-firewall。

3、列出当前全部规则：kylin-firewall --list-rules。

4、添加拒绝规则（例如禁止TCP 139端口）：kylin-firewall --add-rule deny tcp 139。

5、立即应用新规则集：kylin-firewall --apply-rules。

四、在安全中心图形界面中配置联网控制规则

该方式依托“安全中心”应用的可视化策略编辑器，无需记忆命令，适合日常办公用户对常用端口实施黑白名单管理。

1、点击屏幕左下角【开始菜单】，搜索并打开【安全中心】。

2、在左侧导航栏中选择【网络保护】→【联网控制】。

3、点击右上角【新建规则】按钮，弹出规则配置窗口。

4、在协议类型中选择TCP或UDP；在端口字段输入需封禁的端口号（如135）；方向设为入站；动作设为拒绝。

5、填写规则名称（如“禁用NetBIOS入站”），点击【确定】保存规则。

6、返回联网控制主界面，确认新规则状态为启用，并勾选【开机自动加载规则】。