fix(cluster): 保留深圳原有 UFW 防火墙

移除会与 UFW 冲突的 iptables-persistent 安装，改由 UFW 持久化 WireGuard、kubelet、Flannel 和 NodePort 规则。\n\n预检新增 UFW 已安装且处于 active 的硬门禁，避免包管理器切换防火墙后保留 DROP 默认策略并中断远程接入。\n\n已通过 bash -n、ShellCheck 和差异检查。
2026-08-01 09:51:03 +08:00
parent c63709d785
commit d3b36cf63d
2 changed files with 17 additions and 22 deletions
@@ -21,7 +21,8 @@ CloudNativePG；洛杉矶只作为 K3s server/etcd 仲裁节点，并带

 本地 `.env.local` 只保存 `AI_GATEWAY_SHENZHEN_HOST` 和 SSH 接入密码，必须保持 `0600` 且
 不得进入 Git。深圳已有宿主机服务时，接入脚本保留其公开端口，只封锁 K3s API、kubelet、
-VXLAN 和除既有 `31058` 外的 NodePort 公网入口。
+VXLAN 和除既有 `31058` 外的 NodePort 公网入口。深圳防火墙继续由原有 UFW 管理，接入脚本
+禁止安装与 UFW 冲突的 `iptables-persistent`；UFW 未安装或未启用时必须在预检阶段停止。

 生产上线前的双节点高媒体负载、Worker 强杀和 P24/P28/P32 容量搜索见
 [生产同构验收模式与高媒体压力测试](production-acceptance.md)。