Linux防火墙规则如何编写_从基础到进阶全流程讲透【教学】

Linux防火墙规则核心在于理清数据包流向、匹配条件与动作逻辑，需先明确放行/拒绝策略及处理环节；iptables由filter、nat、mangle三表及五链构成，链内规则顺序匹配且命中即止，未匹配时依默认策略处理；配置前须查规则、备份、设超时回滚。

Linux防火墙规则的核心是理解数据包流向、匹配条件和动作逻辑，不是死记命令。真正写好规则，关键在“想清楚要放行什么、拒绝什么、在哪一环处理”。下面从基础概念到实际配置，一步步讲透。

iptables基础结构：三张表+五条链

iptables不是单一工具，而是由表（table）和链（chain）组成的规则容器：

• filter表：最常用，负责过滤（ACCEPT/DROP/REJECT），含INPUT、OUTPUT、FORWARD链
• nat表：做地址转换（SNAT/DNAT/端口映射），主要用PREROUTING、POSTROUTING、OUTPUT链
• mangle表：改写数据包头（如TTL、QoS标记），较少日常使用

每条链按顺序逐条匹配，一旦命中即执行动作并停止后续匹配（除非用-j跳转）。默认策略（policy）决定未匹配时的行为，比如iptables -P INPUT DROP表示INPUT链默认丢弃所有包——这很安全，但必须先放通SSH等必要流量，否则可能锁死远程连接。

写规则前必做的三件事

别急着敲命令，先确认环境、理清需求、留好退路：

腾讯AI 开放平台

腾讯AI开放平台

381

查看详情

• 查当前规则：iptables -L -n -v（-n禁DNS解析，-v看包/字节计数）；更清晰用iptables-save
• 备份现有规则：iptables-save > /root/iptables-backup-$(date +%F).rules
• 设置超时自动回滚（防误锁）：(sleep 300; iptables-restore ，5分钟后若没手动确认，自动恢复

典型场景规则写法（附说明）

以下规则均基于filter表，假设你已设iptables -P INPUT DROP，需显式放行：

• 允许本地回环通信：iptables -A INPUT -i lo -j ACCEPT（-i指定入接口，lo是loopback）
• 允许已建立的连接返回流量：iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT（现代内核推荐用-m conntrack --ctstate替代state模块）
• 开放SSH（仅限某IP段）：iptables -A INPUT -p tcp --dport 22 -s 192.168.1.0/24 -j ACCEPT（-s指定源IP，--dport目标端口）
• 限制SSH暴力尝试：iptables -A INPUT -p tcp --dport 22 -m recent --name ssh --rcheck --seconds 60 --hitcount 4 -j REJECT，再加一行-A INPUT -p tcp --dport 22 -m recent --name ssh --set -j ACCEPT（首次访问记录，1分钟内超3次就拒绝）
• 拒绝特定IP扫描行为：iptables -A INPUT -s 203.0.113.45 -j DROP（DROP静默丢弃，REJECT会发RST/ICMP提示）

进阶技巧：持久化、日志与调试

重启后规则消失？被拒绝却不知原因？这些是真实运维痛点：

• 保存规则到文件并开机加载：Debian/Ubuntu用iptables-persistent，运行netfilter-persistent save；CentOS/RHEL 7+用service iptables save或直接写入/etc/sysconfig/iptables
• 给规则加日志便于排查：iptables -A INPUT -p tcp --dport 80 -j LOG --log-prefix "HTTP-DENIED: "，日志出现在/var/log/messages或journalctl -k | grep HTTP-DENIED
• 用tcpdump辅助验证：比如tcpdump -i eth0 port 22看SSH包是否真被拦截，再对比iptables计数器变化（-v输出里的pkts字段）
• 注意规则顺序！：-A是追加到末尾，-I是插入开头。想让某规则优先生效，用iptables -I INPUT 1 ...插到第1位

基本上就这些。规则不在多，在准；不求炫技，但求可读、可维护、可回滚。真正上线前，在测试机上模拟攻击（如用nmap扫端口、hydra试爆SSH）、关掉再开网络服务验证连通性，比背一百条命令都管用。

以上就是Linux防火墙规则如何编写_从基础到进阶全流程讲透【教学】的详细内容，更多请关注php中文网其它相关文章！