用途：面向宝塔面板部署的 Linux 服务器，审计系统防火墙配置并排查端口访问异常，输出可验证的防火墙审计报告。
主要能力：自动识别防火墙类型（firewalld/ufw/iptables）；检查运行状态、默认策略、已开放端口与服务、富规则中的 IP 黑白名单；对比永久配置与运行时配置；检查端口监听情况，识别数据库、缓存等敏感端口对公网开放的高危配置；发现规则冲突、冗余与顺序问题；按最小化原则给出修复建议。
使用方式：先识别防火墙类型再操作，例如 systemctl is-active firewalld、systemctl is-active ufw、which firewalld ufw iptables。firewalld 用 firewall-cmd --list-all、--list-ports、--list-services、--list-rich-rules；ufw 用 ufw status verbose、ufw status numbered；iptables 用 iptables -L -n -v --line-numbers、iptables -S、ip6tables -L -n -v、iptables -t nat -L -n -v。端口诊断按顺序检查服务监听（ss -tlnp）、防火墙放行、宝塔面板防火墙（bt firewall status）、云安全组，再用 curl -v telnet://localhost:<port>、nc -zv localhost <port>、tcpdump -i any port <port> -nn 验证。
适用场景：审查宝塔主机端口暴露与防火墙规则、排查端口无法访问、核对云安全组差异、按最小权限原则整改。
限制：默认只读，写操作与高危操作需动作级明确授权；生产变更需先确认备份、维护窗口与回滚路径；不收集、不存储、不上传凭据，报告不得含完整 token、密码或密钥；不关闭 TLS 校验，不执行来源不明脚本；示例与模板值不得当作真实环境数据；跨环境参数需重新确认。MCP 集成工具（FirewallStatus、FirewallPortList、FirewallIpList、FirewallPortSet、FirewallIpSet）需已接入 baota-mcp，其中增删规则为 high 风险需授权。