UFW
Ubuntu 内置的简化防火墙管理工具，提供简洁的命令行接口来配置 iptables/nftables 规则
时间轴 (近 90 天)
UFW 的 `status numbered` 输出的编号是动态生成的，并非持久化标识；UFW 内部按规则添加顺序维护链表，删除操作会改变后续节点的索引。
UFW（Uncomplicated Firewall）在底层网络过滤能力之上提供了一层简洁的命令行接口，用于简化防火墙配置。
UFW 配置的核心思路是默认拒绝入站（deny incoming）、允许出站（allow outgoing）。
UFW 的默认策略通过 `ufw default` 命令设置，常见组合是 `ufw default deny incoming` 与 `ufw default allow outgoing`。
在开启 UFW 之前必须先放行 SSH，否则远程连接会被切断，只能通过云服务商的控制台（VNC 或串口）介入修复。
`ufw allow ssh` 能生效是因为 UFW 在 `/etc/services` 中查找 ssh 对应的端口（默认 22/tcp），并将其展开为一条端口规则。
UFW 的规则在启用前处于待生效状态，`ufw show added` 可以查看尚未应用的规则列表，`ufw status` 在未启用时显示 inactive。
UFW 内置应用配置档案，可用 `ufw allow 'Nginx Full'` 或 `ufw allow 'Apache Full'` 一次放行 HTTP（80）和 HTTPS（443）两个端口。
UFW 的应用档案存放在 `/etc/ufw/applications.d/` 目录下，为 INI 格式文件，安装 Nginx 或 Apache 时会自动注册。
`ufw app list` 可列出当前可用的应用档案，`ufw app info 'Nginx Full'` 能查看该档案具体开放了哪些端口。
还有 5 条时间轴事件
全部知识事实 (15)
UFW 的 `status numbered` 输出的编号是动态生成的，并非持久化标识；UFW 内部按规则添加顺序维护链表，删除操作会改变后续节点的索引。
50%待验证UFW（Uncomplicated Firewall）在底层网络过滤能力之上提供了一层简洁的命令行接口，用于简化防火墙配置。
50%待验证UFW 配置的核心思路是默认拒绝入站（deny incoming）、允许出站（allow outgoing）。
50%待验证UFW 的默认策略通过 `ufw default` 命令设置，常见组合是 `ufw default deny incoming` 与 `ufw default allow outgoing`。
50%待验证在开启 UFW 之前必须先放行 SSH，否则远程连接会被切断，只能通过云服务商的控制台（VNC 或串口）介入修复。
50%待验证`ufw allow ssh` 能生效是因为 UFW 在 `/etc/services` 中查找 ssh 对应的端口（默认 22/tcp），并将其展开为一条端口规则。
50%待验证UFW 的规则在启用前处于待生效状态，`ufw show added` 可以查看尚未应用的规则列表，`ufw status` 在未启用时显示 inactive。
50%待验证UFW 内置应用配置档案，可用 `ufw allow 'Nginx Full'` 或 `ufw allow 'Apache Full'` 一次放行 HTTP（80）和 HTTPS（443）两个端口。
50%待验证UFW 的应用档案存放在 `/etc/ufw/applications.d/` 目录下，为 INI 格式文件，安装 Nginx 或 Apache 时会自动注册。
50%待验证`ufw app list` 可列出当前可用的应用档案，`ufw app info 'Nginx Full'` 能查看该档案具体开放了哪些端口。
50%待验证UFW 支持在规则中指定来源 IP，例如 `ufw allow from 203.0.113.10 to any port 3306`，可配合 `proto tcp` 进一步收窄范围。
50%待验证如果管理端使用动态 IP，IP 白名单会频繁失效，此时更适合叠加 VPN 或堡垒机方案，而不是单纯依赖 IP 规则。
50%待验证UFW 的删除方式有两种：按规则内容删除（`ufw delete allow 80`）或按编号删除（先 `ufw status numbered` 查看编号，再 `ufw delete <编号>`）。
50%待验证按编号删除 UFW 规则时，每删除一条规则，后续规则的编号会重新排列，因此连续删除多条规则时应从大编号往小编号操作。
50%待验证即便Ollama已对外监听，若UFW防火墙未放行11434端口，仍需执行ufw allow 11434/tcp才能连通
50%