防火墙禁止SCP（Secure Copy Protocol）命令通常涉及以下几个步骤：
1. 关闭或禁用SCP服务：
如果可能，最直接的方法是关闭或禁用SCP服务。在Linux系统中，通常SCP是通过SSH服务提供的，因此关闭SSH服务也会关闭SCP。
在Linux系统中，可以通过以下命令停止SCP服务：
```bash
sudo systemctl stop ssh
```
或者禁用SSH服务在启动时自动启动：
```bash
sudo systemctl disable ssh
```
2. 配置防火墙规则：
对于基于iptables的防火墙，可以添加规则来禁止SCP相关的端口（默认是TCP端口22）。
```bash
sudo iptables -A INPUT -p tcp --dport 22 -j DROP
```
对于基于nftables的防火墙，配置规则如下：
```bash
sudo nft add rule ip filter input tcp dport 22 counter drop
```
对于基于firewalld的防火墙，可以使用以下命令：
```bash
sudo firewall-cmd --permanent --add-port=22/tcp
sudo firewall-cmd --reload
```
3. 使用SELinux策略：
如果系统启用了SELinux，可以通过修改SELinux策略来禁止SCP。
使用`setsebool`命令来设置布尔值：
```bash
sudo setsebool -P ssh_port=0
```
这将禁止SSH服务使用除了默认端口之外的其他端口。
4. 网络访问控制：
使用网络访问控制列表（ACLs）来限制对特定端口的访问。
在Linux系统中，可以使用`iptables`或`nftables`来实现。
5. SSH配置修改：
修改SSH配置文件（通常是`/etc/ssh/sshd_config`），禁用SCP功能。
添加以下行并重启SSH服务：
```
Subsystem sftp /usr/lib/openssh/sftp-server
```
然后将`Subsystem sftp`行的注释取消，并重启SSH服务。
请注意，以上操作可能需要管理员权限，并且在实施之前应该仔细考虑对系统的影响。如果只是暂时禁止SCP，可以使用`setsebool`命令来动态更改SELinux策略，而不需要重启系统。
