サーバーファイアウォールと Host Access — ドキュメント

パネルはサーバー自身のファイアウォールを管理できるため、ポートを開いたりアドレスをブロックしたりするのに SSH セッションは不要です。ufw（Debian と Ubuntu）と firewalld（RHEL ファミリー: AlmaLinux、Rocky、 CloudLinux）に対応しています。サーバー管理者専用で、システム → セキュリティ → ファイアウォール に表示されます。サーバーで有効なファイアウォールがない場合、カードにその旨が表示され、変更できるものは何も表示されません。

サーバー上のファイアウォールは、防御の 1 層にすぎません。多くのプロバイダーには、プロバイダー側で管理する別の クラウドファイアウォール もあります。ポートは両方で許可されている必要があります。 VPS プロバイダーの注意点を参照してください。

安全網: すべての変更が自動で元に戻る

ファイアウォールの設定ミスは、自分のサーバーから締め出される典型的な原因です。そのため、ここで行う変更はすべて 仮の変更 です。

ポートを開く、アドレスをブロックする、またはリストを保存します。変更は即座に有効になります。
このファイアウォールの変更を保持しますか？ というボックスが、3 分 のカウントダウン付きで表示されます。
このパネルがまだ動作していること、そして SSH でまだログインできることを確認します。そのうえで 変更を保持 を押します。すぐに元に戻したい場合は 今すぐ元に戻す を押します。
何もしなければ、カウントダウンが終わった時点で、ファイアウォールは元の状態に戻ります。

カウントダウンはブラウザではなくサーバー上で管理され、パネルやサーバー全体を再起動しても続きます。取り消し自体が完了できない場合（たとえばファイアウォールがビジー状態のとき）、サーバーが自動的に再試行を続け、カードには、まだ元に戻せていない変更があると表示されます。

変更が保留中のあいだにサーバーが停止し、取り消すべき内容の記録が壊れていた場合、パネルは推測で動きません。 ファイアウォールを確認してください と表示し、リストを見て、残すつもりのなかったものを元に戻すよう求め、確認しました を押すまで新しい変更は一切行いません。

開いているポートとブロック中のアドレス

開いているポート には、ファイアウォールが通しているものが一覧表示されます。ポートを開くには、 8080 のような単一のポート、または 3000-3010 のような範囲を入力し、TCP か UDP を選んでボタンを押します。一覧のポートには、閉じるためのボタンがあります。

ブロック中のアドレス には、拒否されているアドレスが一覧表示されます。IP アドレス、または 203.0.113.0/24 のようなネットワークを入力して「ブロック」を押します。カードにはご自身のアドレスが表示されるので、確認できます。

パネルが拒否すること

これらのルールはオフにできません。入力ミスでサーバーが落ちることがないようにするためのものです。

操作	パネルが拒否する理由
SSH、ポート 80、ポート 443 を閉じる	サーバーに到達できる状態を保つためです。SSH は SSH サーバー自身の設定から読み取るので、標準以外の SSH ポートも保護されます。
非公開のポートを開く: 6379（Redis）、11211（Memcached）、27017（MongoDB）、9080（パネル自身のバックエンド）、8891（DKIM 署名）、8100-8999（アカウントごとのウェブバックエンド）	パスワードなしで待ち受けているか、フロントのウェブサーバーの背後にあります。開くと、訪問者がその保護を迂回できてしまいます。
ご自身のアドレスをブロックする	自分自身が締め出されてしまいます。パネルがあなたのアドレスを把握できない場合は、何もブロックしません。
このサーバーに属するアドレスをブロックする	サーバーが自分自身をブロックしてしまいます。
非常に広いネットワークをブロックする	IPv4 では /8、IPv6 では /16 より広いものは拒否されます。

Host Access: 接続できる相手

接続できる相手（Host Access） では、4 つのサービスのいずれかに対して、リストにあるアドレスだけが到達できるように指定できます。それ以外は、ファイアウォールが拒否します。

サービス	対象のポート
SSH	このサーバーの SSH ポート（SSH が 80 や 443 を共有していても、80 と 443 は対象外）
FTP	21、990、およびパッシブ範囲 30000-30100
メールログイン	110、143、465、587、993、995
データベース	3306

ウェブサイトと受信メール（ポート 25）が制限されることはありません。 メールログインとは、人々がメールを読み書きする場所のことで、ほかのメールサーバーはポート 25 で引き続きあなたに到達できます。

サービスを制限するには、リストで制限… を押し、1 行に 1 つずつアドレスまたはネットワークを書いて（最大 15 件）、リストを保存 を押します。ルールは次のとおりです。

SSH の場合、ご自身のアドレスがリストに含まれている必要があります。含まれていないと、パネルは保存しません。ほかのコンピューターや VPN からもログインする場合は、そのアドレスも追加してください。 自分のアドレスを追加 ボタンで、ご自身のアドレスが入力されます。
実質的な制限にならないほど広いネットワークは拒否されます（IPv4 では /8、IPv6 では /16 より広いもの）。
全員を許可…（外部に対して既定で閉じているデータベースでは リストを削除…）でリストが解除されます。 firewalld では、インストーラーが最初に設定したとおり、そのサービスが全員に戻されます。
ほかの変更と同様に、リストも 変更を保持 を押すまでの 3 分間は仮の状態です。

リストを保存できないとき

「このファイアウォールは、どのルールにも書かれていない接続をすべて通します」 — ファイアウォールが禁止されていないものをすべて受け入れるため、リストを設定しても何も制限されません。先に、受信接続を既定で拒否するようファイアウォールを設定してください（ufw では ufw default deny incoming、 firewalld では有効なゾーンのターゲットを default または REJECT に設定します）。
「パネルの外で作られた別のルールも、これらのポートを開いています」 — たとえば、手作業で追加した、レート制限付き・ログ記録付き・より広い範囲のルールです。パネルはそれに触れず、そのサービスは管理対象外と表示されます。先にそのルールをご自身で削除しないと、リストは何も制限しません。

インストーラーの再実行

install.sh を再実行したり、パネルを更新したりしても、Host Access で制限したポートが再び開かれることは ありません。リストは、設定したままの状態が保たれます。

できないこと

アカウント単位の保護の代わりにはなりません。ブルートフォースのブロック、各アカウントの IP ブロックリスト、ウェブアプリケーションファイアウォールは、それぞれ別の機能です。
無効にしたファイアウォールや、ufw と firewalld 以外のツールのルールは管理しません。
ここでの操作が、プロバイダー側のクラウドファイアウォールを変更することはありません。

関連: トラブルシューティング · VPS プロバイダーの注意点