云防火墙，免费应用 VPS 流量规则

是的，云防火墙对所有服务器免费。一个防火墙最多可添加50条规则，最多应用到10台服务器。想连大流量攻击也一并防范，可加购每台服务器每月 $1.68 的 DDoS 防护，该金额与服务器费用一起续费。只用防火墙的服务器，费用与服务器费用相同。

云防火墙是在服务器外的网络层按规则允许或拦截流量的防火墙。用方向、协议、端口和 IP 地址范围设定规则，只把符合规则的流量送到服务器。与操作系统无关，Linux 和 FreeBSD 服务器都以相同方式使用。

一个防火墙最多可创建50条规则。网站服务器通常只需80、443、22端口三条规则，再加上管理工具或数据库端口也绰绰有余。不同角色的服务器组分别创建防火墙，管理更轻松。每条规则设定方向、协议、端口和 IP 范围。

可以，同一防火墙最多可应用到10台服务器。修改一条规则会同步应用到所有绑定的服务器，无需在每台服务器上重复相同设置。按网站服务器组、数据库组等角色创建防火墙，新服务器只需选择合适的防火墙。规则集中管理，减少出错。

仅用云防火墙就能只开放必要端口，再配合 ufw 或 firewalld 等服务器内防火墙，可以再加一层防护。两处规则按相同原则设置，即使一侧设置失误，另一侧也能拦住。设置示例已整理在防火墙指南文章中。

建议在入站流量规则中，只允许来自自己登录用 IP 地址的22端口访问。再配合 SSH 密钥登录，试图猜测密码的连接尝试就到达不了服务器。从多个地点连接时，把这些地址分别加入规则。网站端口对所有人开放、管理端口只对自己的地址开放，这是基本原则。

防火墙只放行符合设定规则的流量，DDoS 防护则过滤通过已允许端口一拥而上的大流量攻击。两者结合，既只开放必要端口，又能防范从这些端口来的攻击。DDoS 防护为每台服务器每月 $1.68。

为防止垃圾邮件，所有服务器都封锁了用于发信的25端口。网站通知邮件可通过外部发送服务的587或465端口发送，在防火墙的出站流量规则中允许这些端口即可。收信和其他端口按规则正常使用。

不会，云防火墙规则位于服务器外部，重装操作系统后依然保留。重装后在完成服务器内设置之前，也只开放必要端口，新服务器准备期间同样受到相同规则保护。更换防火墙或修改规则也无需重装服务器，会立即应用到运行中的服务。

所有服务器都同时配有一个 IPv4 地址和 IPv6 地址。创建防火墙规则时一并填入 IPv4 和 IPv6 地址范围，就能按相同原则管理两个地址的入站流量。服务器内防火墙也建议同时开启 IPv6 设置。两个地址按相同原则管理，就不会留下漏洞。