用途：管理服务器防火墙与 TLS 证书。适用于检查或修改 UFW/firewalld 策略、用 Certbot 签发或续期证书、验证站点 HTTPS 暴露与续期状态；更广泛的 Web 栈调优或 502 排查应改用 linux-webstack，用户访问与 SSH 密钥管理应改用 linux-access-control。
主要能力：UFW（Debian/Ubuntu）与 firewalld（Fedora、RHEL、CentOS Stream、Rocky、Alma、Oracle）两套前端，二者最终都经内核 nf_tables 生效。可查看与增删规则、限制 SSH 速率、开启日志；用 certbot 的 nginx 插件签发证书、查看全部证书到期时间、dry-run 测试自动续期、expand 扩展域名、检查续期定时器；必要时直接查看或编写 nftables/iptables 规则，用于前端无法表达的自定义 NAT、端口转发或直接管理的宿主机。
使用方式：先探测发行版、活跃防火墙前端、现有规则、监听套接字、证书清单与续期定时器，再对照应用监听与 DNS 选择最小规则或证书动作。常用命令如 sudo ufw status verbose、sudo ufw allow 443/tcp、sudo firewall-cmd --permanent --add-service=https 后 firewall-cmd --reload、sudo certbot --nginx -d example.com、sudo certbot renew --dry-run、sudo nft -c -f /etc/nftables.conf 语法检查后再应用。可运行 sudo install-skills-bin linux-firewall-ssl 安装 sk-nft-show 与 sk-nft-apply 辅助脚本；本技能不提供 Certbot 或 UFW 辅助脚本。
限制：修改防火墙、安装软件包、签发证书、改动 Web 服务器并重载均需明确变更授权与 root 权限；远程改默认拒绝策略前须保留并验证第二条管理会话，防止锁定。缺少 DNS、网络、root、Certbot 或第二会话时，只能报告本地已验证状态，并将公网可达性、签发、续期或锁定安全性标注为未评估；本地 HTTPS 响应不能作为公网可达的依据。文档未提供具体收费与价格信息。