UFW 支持在规则中指定来源 IP，例如 `ufw allow from 203.0.113.10 to any port 3306`，可配合 `proto tcp` 进一步收窄范围。