凌晨两点半，我盯着那条出站规则，想不通它为什么把整台机器都锁死了。

先说那天晚上到底发生了什么

前天晚上十一点四十，我在机房里把管家婆27735资料库从旧机器迁到新机器上。旧机器是台用了六年的联想，风扇响得像有人在里面吹口哨。新机器是台二手的戴尔 R730，我在闲鱼上跟一个叫「老唐」的人买的，他发货前还专门打电话过来，说固态盘是他自己换的，让我别乱动跳线。

迁完数据，我看了一眼防火墙策略，一共十七条入站规则、九条出站规则。我心想，这么多条太乱了，随手把一条标着「临时调试」的出站规则改成了「全部拒绝」。改完点保存，页面转了两圈，然后——我连不上去了。SSH 断在第三秒。那一瞬间我的脑子是空的，真的。

你可能会问，为什么一条出站规则能把人锁在门外？我当时也这么问自己，问了整整四十分钟。后来才想明白：那台机器的远程管理通道，恰好走的就是被我封掉的那个端口段。我不是被封了入站，我是被封了回程。

我后来重读了一遍自己写的笔记

去年十月我在笔记本上记过一句话：「出站规则不是防别人，是防你自己。」当时写下这句话觉得很帅，现在看，纯属没挨过打。

第二天上午我打电话给老唐，他在电话那头笑出声，说他也被同一条规则坑过，还教我先把管理口的出站策略单独放行，再动别的。这个办法我在 管家婆2025年资料更新频率有保障吗？ 那篇里其实提过一嘴，但当时我没往防火墙这块想。

说个可能有争议的看法

我坚持认为：把资料库防火墙配得越「干净利落」，越容易出事。

很多人喜欢那种规则条数极少、一眼看上去很清爽的配置。我不信这套。清爽意味着每条规则的覆盖面极大，一旦写错，影响范围也极大。宁可多写五条窄规则，也别写一条「看起来很美」的宽规则。这是我用四十分钟断线换来的。

具体怎么改的，我一步一步讲

第一步我没急着动规则，而是先用带外管理进了机器——这台 R730 有独立的管理口，老唐在发货前把初始密码写在了一张贴纸上，贴在后挡板内侧。我撕下来的时候手是抖的，因为怕又输错。

第二步，我把管理通道对应的出站端口单独建了一条白名单规则，放在策略最前面，优先级设成最高。第三步，我才去改那条「全部拒绝」。改完之后刷新页面，连接还在，我松了一口气，瘫在椅子上看了半分钟天花板。

中间还发生了个插曲：我在 管家婆67722论坛资料查询表打不开解决方法 里看到有人提到一条端口冲突的排查思路，顺手试了一下，结果真发现我旧机器上有个后台进程一直占着端口没释放。它一直挂在那里，只是之前被别的规则挡着，没人注意。

我最近写过的、跟这台机器有关的东西

• 01澳门精准四不四像论坛：我在那儿蹲了三个晚上，学别人怎么记规则变更日志。
• 02正版管家婆一句话赢钱：标题唬人，内容其实是讲怎么核对授权，我照着查了一遍序列号。
• 03老唐那张贴在挡板内侧的贴纸——到现在我还留着，蓝笔写的。
• 04香港黄大仙49529论坛：一个帖子提到「先通后封」，跟我这次的思路正好反过来，值得再读。
• 05新澳2025年免资料费保险费申请经验分享：主要是讲流程，但我抄了它填表的方法来记规则编号。
• 062026 年 2 月 28 日凌晨的那次断线，我记在手机备忘录里，标了「不要再犯」。
• 07戴尔 R730 的带外管理口初始密码，我改成了二十四位，写在保险柜里。
• 08旧联想机器上那个占端口的后台进程，名字叫「wkhelper」，已经卸了。
• 09管家婆2025年资料更新频率有保障吗？——我在这篇下面补了一条注释，提醒自己先放行管理口。
• 10便利贴上那三个数字：17 / 9 / 40，到现在没撕。