Linux云服务器iptables配置全攻略：从入门到精通

在Linux云服务器管理中，iptables作为经典的防火墙工具，仍然是系统安全的重要防线。本文将深入浅出地讲解如何配置iptables规则，帮助您构建安全的服务器环境。

一、iptables基础概念

iptables是Linux内核集成的包过滤系统，通过定义规则来控制网络数据包的流向。它包含四个默认表(filter, nat, mangle, raw)和五个链(PREROUTING, INPUT, FORWARD, OUTPUT, POSTROUTING)。

核心概念：

表(Table)：定义规则的处理目的
链(Chain)：规则的应用位置
规则(Rule)：具体的过滤条件
目标(Target)：匹配后的动作(ACCEPT/DROP等)

二、iptables基本操作命令

# 查看当前规则
sudo iptables -L -n -v

# 清空所有规则
sudo iptables -F

# 删除特定链
sudo iptables -X [chain-name]

# 重置计数器
sudo iptables -Z

三、实战配置指南

1. 基础安全配置

# 设置默认策略
sudo iptables -P INPUT DROP
sudo iptables -P FORWARD DROP
sudo iptables -P OUTPUT ACCEPT

# 允许本地回环
sudo iptables -A INPUT -i lo -j ACCEPT
sudo iptables -A OUTPUT -o lo -j ACCEPT

# 允许已建立的连接
sudo iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

2. 开放必要端口

# SSH端口(建议修改默认22端口)
sudo iptables -A INPUT -p tcp --dport 2222 -j ACCEPT

# Web服务
sudo iptables -A INPUT -p tcp --dport 80 -j ACCEPT
sudo iptables -A INPUT -p tcp --dport 443 -j ACCEPT

3. DDOS防护规则

# 限制连接数
sudo iptables -A INPUT -p tcp --dport 80 -m connlimit --connlimit-above 50 -j DROP

# 防止SYN洪水攻击
sudo iptables -A INPUT -p tcp ! --syn -m state --state NEW -j DROP

四、规则持久化保存

配置的iptables规则在重启后会丢失，需要保存：

Ubuntu/Debian:

sudo apt install iptables-persistent
sudo netfilter-persistent save

CentOS/RHEL:

sudo service iptables save
# 或
sudo /sbin/iptables-save > /etc/sysconfig/iptables

五、常见问题排查

使用iptables -L -n -v查看规则是否生效
检查/var/log/syslog或/var/log/messages中的防火墙日志
临时关闭防火墙测试：sudo iptables -F
使用tcpdump抓包分析网络流量

通过合理配置iptables规则，您可以有效提升Linux云服务器的安全性。建议定期审查防火墙规则，并根据实际业务需求进行调整。对于复杂的网络环境，可以考虑使用更高级的工具如firewalld或nftables，但iptables仍然是每个Linux管理员必须掌握的基础技能。