---

如何在 Debian 系统上关闭防火墙（强烈不推荐用于生产环境）

重要警告： 在 Debian 或任何其他操作系统上关闭防火墙会使您的系统暴露在巨大的安全风险之下。这相当于将您的房屋大门敞开，允许任何人自由进出。未经防火墙保护的系统极易受到各种网络攻击，包括端口扫描、拒绝服务攻击（DoS）、暴力破解、恶意软件入侵以及未经授权的数据访问。本文提供的步骤仅应作为临时的故障排除手段，绝不应在生产环境或长期运行的服务器上执行。完成故障排除后，请务必立即重新启用并正确配置您的防火墙。

引言：了解 Debian 防火墙及其重要性

在深入探讨如何关闭防火墙之前，理解 Linux 系统中的防火墙以及它在 Debian 中的实现方式至关重要。防火墙是网络安全的第一道防线，它根据预先定义的规则集来监控和控制进出您系统的网络流量。简单来说，它决定了哪些连接是被允许的，哪些应该被阻止。

Debian 系统通常使用以下几种工具来管理防火墙规则：

1. iptables / nftables: 这是 Linux 内核级别的防火墙框架。iptables 是传统的命令行工具，用于配置 netfilter 框架中的 IPv4 规则；ip6tables 用于 IPv6；arptables 用于 ARP；ebtables 用于以太网桥。较新的 Debian 版本（如 Debian 10 “Buster” 及更高版本）默认可能已切换到使用 nftables，它是 iptables 系列工具的继任者，提供更灵活、统一的规则集语法。然而，为了兼容性，iptables 命令通常通过一个兼容层指向 nftables 或仍然提供 iptables-legacy 实现。
2. UFW (Uncomplicated Firewall): 这是一个 iptables/nftables 的前端工具，旨在简化防火墙的配置。UFW 提供了一个用户友好的命令行接口，使得设置常见的防火墙规则变得更加容易。它在 Ubuntu 中非常流行，也可以在 Debian 上轻松安装和使用。
3. firewalld: 这是另一个防火墙管理工具，它使用“区域”（zones）的概念来管理规则。firewalld 默认在基于 RHEL 的发行版（如 CentOS、Fedora、Rocky Linux、AlmaLinux）中更常见，但在 Debian 上也可以安装和使用。

理解您的 Debian 系统正在使用哪种防火墙工具是正确关闭它的第一步。如果您的系统是最近安装的标准 Debian 服务器，很有可能底层是 iptables/nftables，并且可能没有默认安装 UFW 或 firewalld。如果您或其他人之前安装并配置了 UFW 或 firewalld，那么您需要针对这些工具进行操作。

为什么您可能考虑临时关闭防火墙？

如前所述，关闭防火墙极不推荐。唯一合理的场景是：

• 故障排除: 当您确定某个网络服务（如 SSH、Web 服务器、数据库）无法访问，并且怀疑是防火墙阻止了流量时，可以临时关闭防火墙来验证。如果关闭防火墙后服务可以访问，那么问题就在于防火墙规则配置不当；如果关闭后仍然无法访问，则问题可能出在服务本身、网络配置或其他地方。
• 测试环境: 在一个完全隔离的、没有敏感数据、不连接外部网络的测试环境中，为了简化测试流程，可能会暂时关闭防火墙。但这仍然存在沙箱逃逸的风险。

除了这些极为有限的场景，任何时候都不应在联网的系统上禁用防火墙。

安全风险：为什么不应该关闭防火墙

关闭防火墙带来的风险是巨大的，并且可能导致灾难性的后果：

1. 未经授权的访问: 防火墙的主要作用是阻止来自外部的恶意连接尝试。关闭防火墙后，任何扫描到您服务器开放端口的攻击者都可以尝试连接并利用服务中的漏洞，进行暴力破解（例如 SSH 密码）、上传恶意文件、执行远程命令等。
2. 恶意软件感染: 许多恶意软件（如蠕虫）会自动扫描网络寻找存在已知漏洞或配置不当（如开放端口）的系统。没有防火墙的保护，您的系统更容易成为这些恶意软件的攻击目标和传播载体。
3. 数据泄露: 攻击者一旦成功入侵，可以轻松访问、窃取或删除您系统上的敏感数据。对于存储了客户信息、商业秘密或个人隐私的服务器来说，这可能导致严重的法律和经济损失。
4. 拒绝服务 (DoS/DDoS) 攻击: 防火墙可以帮助过滤掉恶意的流量洪泛，抵御 DoS 攻击。关闭防火墙后，系统更容易被大量无用的请求淹没，导致服务中断甚至系统崩溃。
5. 系统资源滥用: 没有防火墙限制，一些服务可能会被滥用，例如作为发送垃圾邮件的中继、参与僵尸网络进行 DDoS 攻击，或者被用于进行加密货币挖矿，消耗大量系统资源。
6. 内部网络风险扩散: 如果您的服务器位于内部网络中，它的安全问题可能会迅速蔓延到网络中的其他设备。

鉴于这些风险，在执行以下任何关闭防火墙的操作之前，请务必三思而后行，并确保您清楚地知道自己在做什么以及可能带来的后果。

第一步：识别您的防火墙工具

在 Debian 系统上，您需要先确定当前正在使用或可能启用的防火墙管理工具。按照以下步骤进行检查：

打开终端，并使用具有 sudo 权限的用户执行命令。

1. 检查 UFW:
   bash
sudo ufw status
   如果 UFW 正在运行或已安装，此命令会显示其状态（例如，Status: active 或 Status: inactive）或安装提示。如果显示 ufw: command not found，则通常表示 UFW 未安装或未在您的 PATH 中。

2. 检查 Firewalld:
   bash
sudo systemctl status firewalld
   此命令会显示 firewalld 服务的状态。如果它正在运行（Active: active (running)），则表示 Firewalld 正在使用。如果显示 Unit firewalld.service could not be found. 或状态为 inactive，则表示 Firewalld 未启用或未安装。

3. 检查 iptables / nftables 服务和规则:
   即使没有安装 UFW 或 firewalld，底层的 iptables/nftables 框架仍然存在。许多系统服务或安装的软件可能会直接配置 iptables/nftables 规则。此外，Debian 使用 netfilter-persistent（或旧版本中的 iptables-persistent）服务来在启动时加载保存的 iptables/nftables 规则。

   • 检查 nftables 服务状态 (较新 Debian):
     bash
sudo systemctl status nftables
     如果此服务处于 active 状态，表明系统可能正在使用 nftables 并且其规则会在启动时加载。

   • 检查 iptables-persistent / netfilter-persistent 服务状态 (保存规则的服务):
     bash
sudo systemctl status netfilter-persistent
# 或者对于旧系统
sudo systemctl status iptables-persistent
     如果其中一个服务处于 active 状态，表示系统配置为在启动时加载保存的 iptables/nftables 规则。

   • 列出当前的 iptables 规则:
     bash
sudo iptables -L
# 或者对于 IPv6 规则
sudo ip6tables -L
     这些命令将显示当前在内存中的 iptables (IPv4) 和 ip6tables (IPv6) 规则链。即使没有上述服务运行，这些规则也可能由某个脚本或服务在启动时临时加载。如果输出显示有很多 ACCEPT 规则或者链的策略（policy）是 ACCEPT，可能防火墙已经比较开放；如果有很多 DROP 或 REJECT 规则，或者链的策略是 DROP/REJECT，说明防火墙可能正在限制流量。

   • 列出当前的 nftables 规则:
     bash
sudo nft list ruleset
     如果系统主要使用 nftables，这个命令会显示当前的规则集。

根据上述检查结果，您可以确定主要需要操作哪个工具。通常情况下，如果您安装并启用了 UFW 或 firewalld，它们会管理底层的 iptables/nftables 规则。如果您没有安装它们，那么直接操作 iptables/nftables 或禁用 netfilter-persistent 服务是关闭防火墙的方式。

接下来，我们将针对不同的工具，详细介绍关闭防火墙的步骤。请根据您识别出的工具选择相应的章节。

方法一：关闭 UFW 防火墙

如果 sudo ufw status 命令显示 UFW 处于活动状态 (Status: active)，那么您需要使用 UFW 的命令来禁用它。

关闭 UFW 是相对直接的，但需要注意它对服务启动时的影响。

1. 检查当前状态:
   bash
sudo ufw status verbose
   确认 UFW 确实是活动的。

2. 禁用 UFW:
   执行以下命令来禁用 UFW。这会移除所有当前的 UFW 规则，并将链策略（通常是 DROP 或 REJECT）改为 ACCEPT，从而允许所有流量通过。
   bash
sudo ufw disable
   执行此命令后，您会看到类似这样的输出：
   Firewall stopped and disabled on system startup
   这意味着 UFW 不仅现在被关闭了，而且它已经被配置为在系统启动时不会自动启动。

3. 验证 UFW 状态:
   再次检查 UFW 的状态，确认它已经不再活动。
   bash
sudo ufw status verbose
   输出应该显示 Status: inactive。

   此时，UFW 已经停止工作，不再过滤流量。底层 iptables/nftables 规则可能已经被清空或设置为允许所有流量。

重要提示：

• sudo ufw disable 命令通常会处理好规则的移除和服务启动项的禁用。
• 禁用 UFW 会立即影响当前的连接和未来的连接。
• 要重新启用 UFW 并恢复之前的规则，请运行 sudo ufw enable。
• 如果您想完全重置 UFW 到其初始状态（删除所有自定义规则），可以使用 sudo ufw reset 命令。但在禁用防火墙时，通常 disable 已经足够。

方法二：关闭 Firewalld 防火墙

如果 sudo systemctl status firewalld 命令显示 Firewalld 处于活动状态 (Active: active (running))，那么您需要使用 systemctl 命令来管理 Firewalld 服务。

关闭 Firewalld 需要停止其服务并阻止其在启动时自动运行。

1. 检查当前状态:
   bash
sudo systemctl status firewalld
   确认 Firewalld 正在运行。

2. 停止 Firewalld 服务 (临时关闭):
   执行以下命令来立即停止 Firewalld 服务。这将导致 Firewalld 停止过滤流量。
   bash
sudo systemctl stop firewalld
   这只是临时停止服务，系统重启后 Firewalld 可能会再次启动（如果它被设置为开机启动）。

3. 禁用 Firewalld 服务 (阻止开机启动):
   为了确保 Firewalld 在系统重启后不会自动启动，您需要禁用它的 systemd 服务。
   bash
sudo systemctl disable firewalld
   执行此命令后，您会看到类似这样的输出，表明服务已被移除自启动列表：
   Removed /etc/systemd/system/multi-user.target.wants/firewalld.service.

4. 验证 Firewalld 状态:
   再次检查 Firewalld 的状态，确认它已经停止并且被禁用。
   bash
sudo systemctl status firewalld
   输出应该显示 Active: inactive (dead) 或类似信息，并且提到 disabled。

5. (可选) 屏蔽 Firewalld 服务 (更彻底的禁用):
   如果您想阻止 Firewalld 即使被手动尝试启动也不会运行，可以使用 mask 命令。
   bash
sudo systemctl mask firewalld
   这将创建一个指向 /dev/null 的软链接，阻止 systemctl start firewalld 等命令正常工作。要撤销屏蔽，使用 sudo systemctl unmask firewalld。

重要提示：

• stop 命令是立即停止服务，但下次开机可能还会启动。
• disable 命令是阻止服务在开机时自动启动。
• mask 命令是更彻底地阻止服务运行，包括手动启动。
• 在禁用 Firewalld 后，底层 iptables/nftables 可能就没有规则了，或者只剩下一些由其他非 Firewalld 组件添加的规则。为了确保完全开放，您可能还需要检查底层的 iptables/nftables 规则（参考方法三）。但通常 Firewalld 停止后，其添加的过滤规则会失效。
• 要重新启用 Firewalld，首先使用 sudo systemctl unmask firewalld (如果之前屏蔽了)，然后 sudo systemctl enable firewalld，最后 sudo systemctl start firewalld。

方法三：关闭 iptables / nftables (底层框架)

如果您的系统没有安装或启用 UFW 或 Firewalld，或者您想直接操作底层的防火墙规则，您需要处理 iptables 或 nftables。这通常涉及清空当前的规则集并将默认策略设置为 ACCEPT。此外，您还需要禁用负责在启动时加载这些规则的服务（如 netfilter-persistent 或 nftables 服务）。

首先，确定您的系统主要使用 iptables-legacy 还是 nftables。虽然 iptables 命令可能在两个环境中都工作（通过兼容层），但理解底层机制有助于更彻底地禁用。较新的 Debian 版本默认倾向于 nftables。您可以通过 sudo update-alternatives --display iptables 命令来查看 iptables 命令指向的是 iptables-legacy 还是 iptables-nft。如果指向 iptables-nft，说明系统倾向于 nftables。

场景 A: 主要操作 iptables (Legacy 或兼容层)

1. 清空所有规则并设置默认策略为 ACCEPT (临时):
   这些命令将清空所有表（filter, nat, mangle, raw, security）中的所有链（INPUT, FORWARD, OUTPUT 等）的规则，并将内置链（INPUT, FORWARD, OUTPUT）的默认策略设置为 ACCEPT，允许所有流量通过。
   “`bash
   # 清空所有规则 (flush all rules in all chains)
   sudo iptables -F
   sudo ip6tables -F
   # 清空所有非默认链 (delete all non-default chains)
   sudo iptables -X
   sudo ip6tables -X
   # 清空所有 nat 表的规则 (flush NAT rules)
   sudo iptables -t nat -F
   sudo ip6tables -t nat -F
   # 清空所有 mangle 表的规则 (flush mangle rules)
   sudo iptables -t mangle -F
   sudo ip6tables -t mangle -F
   # 清空所有 raw 表的规则 (flush raw rules)
   sudo iptables -t raw -F
   sudo ip6tables -t raw -F
   # 清空所有 security 表的规则 (flush security rules)
   sudo iptables -t security -F
   sudo ip6tables -t security -F

   设置默认策略为 ACCEPT (允许所有未被特定规则阻止的流量)

   注意: 由于已经清空了规则，设置 ACCEPT 策略可以确保没有遗留的 DROP 规则。

   严格来说，如果已经 F 了，理论上流量就放行了。但为了保险和明确性，可以设置。

   务必注意，一旦设置 ACCEPT 策略并保存，系统将永久开放！所以这一步通常只做临时操作。

   sudo iptables -P INPUT ACCEPT
   sudo iptables -P FORWARD ACCEPT
   sudo iptables -P OUTPUT ACCEPT
   sudo ip6tables -P INPUT ACCEPT
   sudo ip6tables -P FORWARD ACCEPT
   sudo ip6tables -P OUTPUT ACCEPT
   “`
   执行这些命令后，当前的防火墙规则会被移除，系统将允许所有流量进出。但是，这些更改是临时的，系统重启后会丢失！除非有服务在启动时重新加载规则。

2. 禁用规则加载服务 (netfilter-persistent / iptables-persistent):
   为了阻止系统在启动时重新加载之前保存的防火墙规则（这些规则可能包含 DROP 策略或限制规则），您需要禁用负责加载它们的服务。
   “`bash
   # 检查服务状态
   sudo systemctl status netfilter-persistent
   # 或者对于旧系统
   sudo systemctl status iptables-persistent

   如果服务正在运行且已启用，则停止并禁用它

   sudo systemctl stop netfilter-persistent
   sudo systemctl disable netfilter-persistent

   或者对于旧系统

   sudo systemctl stop iptables-persistent
   sudo systemctl disable iptables-persistent
   ``
禁用此服务可以确保在系统启动时不会自动加载保存的 iptables/ip6tables 规则文件（通常位于/etc/iptables/rules.v4和/etc/iptables/rules.v6`）。

3. 验证状态:
   再次运行 sudo iptables -L 和 sudo ip6tables -L。您应该看到规则链是空的，或者只有默认链，并且其策略都是 ACCEPT。同时，检查 netfilter-persistent 或 iptables-persistent 服务的状态，确保它们是 inactive 和 disabled。

重要提示：

• 直接操作 iptables/ip6tables 是低级操作，需要非常小心。一个错误的命令可能导致您失去对服务器的 SSH 访问权限。
• iptables -F 清空的是内存中的当前规则。
• iptables -P <CHAIN> ACCEPT 设置的是对应链的默认策略。
• 禁用 netfilter-persistent 服务是阻止系统启动时从文件加载规则的关键。但请注意，某些应用程序可能在其自己的服务启动脚本中动态添加 iptables 规则，禁用此服务可能不会阻止这些特定的规则被添加。
• 再次强调： 如果您在清空规则并将策略设置为 ACCEPT 后保存了这些规则（例如使用 netfilter-persistent save 命令或其等效命令），并在启动时加载它们，您的系统将永久处于不设防状态，这是极其危险的！在执行临时关闭防火墙的操作时，确保不要保存这种“空规则”或“全 ACCEPT 策略”的状态。

场景 B: 主要操作 nftables

如果您的系统主要使用 nftables，您需要针对 nft 命令和 nftables 服务进行操作。

1. 清空所有规则集 (临时):
   执行以下命令来清空当前的 nftables 规则集。这会移除所有表和链，从而停止所有流量过滤。
   bash
sudo nft flush ruleset
   执行此命令后，当前的 nftables 规则会被移除。但是，这些更改是临时的，系统重启后会丢失！除非有服务在启动时重新加载规则。

2. 停止并禁用 nftables 服务:
   nftables 的规则通常由 nftables.service 服务在启动时加载（从 /etc/nftables/nftables.conf 文件）。为了阻止系统在启动时重新加载这些规则，您需要停止并禁用此服务。
   “`bash
   # 检查服务状态
   sudo systemctl status nftables

   如果服务正在运行且已启用，则停止并禁用它

   sudo systemctl stop nftables
   sudo systemctl disable nftables
   “`
   禁用此服务可以确保在系统启动时不会自动加载保存的 nftables 规则文件。

3. 验证状态:
   再次运行 sudo nft list ruleset。您应该看到输出显示规则集是空的。同时，检查 nftables 服务的状态，确保它是 inactive 和 disabled。

重要提示：

• nft flush ruleset 清空的是内存中的当前整个 nftables 规则集。
• 禁用 nftables.service 是阻止系统启动时从 /etc/nftables/nftables.conf 加载规则的关键。
• 和 iptables 类似，某些应用程序可能在其自己的服务启动脚本中动态添加 nftables 规则，禁用此服务可能不会阻止这些特定的规则被添加。
• 再次强调： 如果您在清空规则后保存了规则集文件（例如覆盖 /etc/nftables/nftables.conf 为空文件或全 ACCEPT 规则），并在启动时加载它，您的系统将永久处于不设防状态，这是极其危险的！在执行临时关闭防火墙的操作时，确保不要保存这种“空规则”的状态。

临时 vs. 永久关闭

通过上面的方法，您可以看到有两种“关闭”防火墙的方式：

1. 临时关闭: 停止防火墙服务（如 ufw disable, systemctl stop firewalld, systemctl stop nftables）或清空当前规则集（如 iptables -F, nft flush ruleset）。这种方法只在当前会话中有效，系统重启后，如果防火墙服务被设置为开机启动，它会再次加载规则并重新启用防火墙。这种方法适合临时的故障排除。
2. 永久关闭 (阻止开机启动): 除了临时关闭，还需要禁用相关的防火墙服务（如 systemctl disable ufw, systemctl disable firewalld, systemctl disable netfilter-persistent, systemctl disable nftables）。这将阻止防火墙在系统启动时自动加载或启动。这种方法是非常危险的，意味着您的系统在每次启动后都将长时间暴露在风险之下。在生产环境中，绝对不应该执行永久关闭防火墙的操作。

本文主要描述了如何执行这些操作，但再次强烈建议仅进行临时关闭，并在完成故障排除后立即重新启用。

关闭防火墙后的测试

在关闭防火墙后，您可以通过一些方法来测试系统是否真的已经不再过滤流量。

1. 本地测试 (仅确认内部状态):

   • 使用 sudo iptables -L 或 sudo nft list ruleset 查看规则集是否为空或策略是否为 ACCEPT。
   • 使用 sudo ufw status 或 sudo systemctl status firewalld/nftables 检查防火墙服务的状态。

2. 远程测试 (从另一台机器):
   这是更准确的测试方法，因为防火墙是阻止来自外部的连接。

   • 端口扫描: 从另一台位于不同网络（最好是互联网）的机器上，使用工具如 nmap 来扫描您 Debian 服务器的 IP 地址。
     bash
nmap <Your_Debian_Server_IP_Address>
     如果防火墙已关闭，nmap 应该能探测到所有正在监听的网络端口（例如 SSH 的 22 端口，Web 服务器的 80/443 端口等），并将它们报告为 open 状态。如果防火墙仍然工作，许多端口可能会显示为 filtered 或 closed。
   • 尝试连接特定服务: 尝试从远程机器连接到您怀疑被防火墙阻止的服务端口。例如，如果问题是 SSH 连接不通，尝试 ssh your_user@Your_Debian_Server_IP_Address。如果关闭防火墙后可以连接，则问题很可能是防火墙规则。

进行远程测试时，确保从外部网络或至少与您 Debian 服务器不在同一个子网的机器上进行，这样才能模拟真实的网络访问场景。

替代方案：正确配置防火墙而非关闭

关闭防火墙是解决网络问题的最简单但最危险的方法。一个更好的方法是学习如何正确配置防火墙，只允许必要的流量通过。这提供了必要的安全性，同时仍然允许您的服务正常运行。

以下是一些配置防火墙的替代方案：

1. 使用 UFW: UFW 提供了一个非常简单的接口来允许或拒绝特定端口、服务或 IP 地址的流量。例如：

   • 允许 SSH (端口 22): sudo ufw allow ssh 或 sudo ufw allow 22/tcp
   • 允许 Web 服务器 (端口 80/443): sudo ufw allow http 或 sudo ufw allow 80/tcp, sudo ufw allow https 或 sudo ufw allow 443/tcp
   • 允许来自特定 IP 的所有流量: sudo ufw allow from 192.168.1.100
   • 删除规则: sudo ufw delete allow 22/tcp
     UFW 的文档非常详细且易于理解，是新手配置防火墙的推荐工具。

2. 使用 Firewalld: Firewalld 使用区域和服务的概念，配置也相对直观。

   • 在 public 区域允许 SSH 服务: sudo firewall-cmd --zone=public --add-service=ssh --permanent
   • 重新加载规则: sudo firewall-cmd --reload
   • 允许特定端口: sudo firewall-cmd --zone=public --add-port=8080/tcp --permanent

3. 直接使用 iptables/nftables: 虽然更复杂，但直接操作底层工具提供了最大的灵活性和控制力。您可以使用各种匹配条件（如协议、端口、源/目标 IP、网络接口）来创建精确的规则链。学习 iptables/nftables 的规则语法和链处理流程是更高级的防火墙管理技能。

在故障排除过程中，如果您怀疑是防火墙问题，更好的做法是临时添加一条允许您正在测试的服务的规则，而不是完全关闭防火墙。例如，如果您正在测试一个运行在 8080 端口的 Web 应用，可以临时添加 sudo ufw allow 8080/tcp 或相应的 iptables/nftables 规则，然后测试访问。如果可以访问，那么问题就是缺乏这条规则；如果仍然无法访问，则问题不在防火墙对该端口的阻止上。

完成故障排除后：务必重新启用防火墙

这是整个过程中最重要的一步。一旦您完成了故障排除或测试，并且不再需要防火墙处于禁用状态，请务必立即重新启用它。

根据您之前禁用的方法，执行相应的启用步骤：

• 如果您禁用了 UFW:
  bash
sudo ufw enable
  这会加载之前保存的 UFW 规则并重新开始过滤流量。您可能会看到一个警告，提示此操作可能会中断现有的 SSH 连接，因为默认策略可能是拒绝。请确保您允许了 SSH 端口（如果通过 SSH 操作）再执行此命令，或者从物理控制台/带外管理进行。

• 如果您禁用了 Firewalld:
  bash
# 如果之前屏蔽了，先解除屏蔽
sudo systemctl unmask firewalld
# 设置为开机启动
sudo systemctl enable firewalld
# 立即启动服务
sudo systemctl start firewalld
  Firewalld 将加载其区域配置并开始过滤。

• 如果您操作了底层的 iptables/nftables 并禁用了规则加载服务:
  如果您只是临时清空了规则而没有保存（推荐做法），那么重启系统应该会自动加载 /etc/iptables/rules.v4、/etc/iptables/rules.v6 或 /etc/nftables/nftables.conf 中的规则（前提是 netfilter-persistent 或 nftables 服务是启用的）。
  “`bash
  # 启用规则加载服务
  sudo systemctl enable netfilter-persistent
  # 或者
  sudo systemctl enable iptables-persistent
  # 或者
  sudo systemctl enable nftables

  启动规则加载服务（这会立即从文件加载规则）

  sudo systemctl start netfilter-persistent

  或者

  sudo systemctl start iptables-persistent

  或者

  sudo systemctl start nftables

  如果您临时清空了规则，也可以尝试从文件重新加载它们 (取决于您的保存方式和服务配置)

  对于 iptables-persistent:

  sudo netfilter-persistent reload

  对于 nftables:

  sudo systemctl reload nftables

  “`
  如果您的原始防火墙规则文件没有保存，或者在禁用过程中被误删除/修改，您可能需要手动重建或恢复它们。这是直接操作底层 iptables/nftables 的风险之一。这也是为什么更推荐使用 UFW 或 Firewalld 等管理工具的原因，它们通常能更好地管理规则的保存和加载。

  请确保在重新启用防火墙服务后，您仍然能够访问您的服务器（尤其是通过 SSH）。 如果您被锁定，您将需要通过物理控制台或带外管理方式来修复防火墙配置。

总结

本文详细介绍了在 Debian 系统上关闭防火墙的各种方法，包括通过 UFW、Firewalld 以及直接操作 iptables/nftables。每种方法都涉及停止当前运行的防火墙组件和/或禁用其在系统启动时的加载。

然而，本文最核心的强调在于：在生产环境或任何连接到互联网的系统上关闭防火墙是一个非常危险且极不推荐的操作。 它将使您的系统暴露在严重的网络威胁之下。

关闭防火墙应仅被视为临时的故障排除手段。在进行此类操作时，务必谨慎，并清楚地了解相关的安全风险。完成故障排除后，请务必立即重新启用防火墙，并考虑学习如何正确配置它，以允许必要的流量通过，同时保持系统的安全性。

确保您的 Debian 系统始终运行着一个正确配置的防火墙，是维护系统安全的基础。

---