云服务器iptables防火墙配置全指南：从入门到精通

一、iptables基础概念解析

iptables是Linux内核集成的包过滤系统，通过定义规则链(Chain)来控制网络数据包的流动。主要包含三个默认链：

• INPUT链：处理进入本机的数据包
• OUTPUT链：处理从本机发出的数据包
• FORWARD链：处理经过本机转发的数据包

二、云服务器iptables初始配置

1. 安装与检查

# 检查iptables是否安装
sudo iptables -V

# 如未安装（CentOS）
sudo yum install iptables-services

# 查看当前规则
sudo iptables -L -n

2. 基础安全规则设置

# 清空现有规则
sudo iptables -F

# 设置默认策略（拒绝所有）
sudo iptables -P INPUT DROP
sudo iptables -P OUTPUT ACCEPT
sudo iptables -P FORWARD DROP

# 允许本地回环
sudo iptables -A INPUT -i lo -j ACCEPT
sudo iptables -A OUTPUT -o lo -j ACCEPT

# 允许已建立的连接
sudo iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

三、常见服务端口开放配置

1. SSH服务（端口22）

# 限制特定IP访问SSH（推荐）
sudo iptables -A INPUT -p tcp --dport 22 -s 允许的IP地址 -j ACCEPT

# 或允许所有IP访问SSH（风险较高）
sudo iptables -A INPUT -p tcp --dport 22 -j ACCEPT

2. Web服务配置

# HTTP (80)和HTTPS (443)
sudo iptables -A INPUT -p tcp --dport 80 -j ACCEPT
sudo iptables -A INPUT -p tcp --dport 443 -j ACCEPT

3. 数据库服务

# MySQL (3306) - 强烈建议限制访问IP
sudo iptables -A INPUT -p tcp --dport 3306 -s 允许的IP地址 -j ACCEPT

四、高级防护配置技巧

1. 防御DDoS攻击

# 限制新连接速率
sudo iptables -A INPUT -p tcp --dport 80 -m limit --limit 25/minute --limit-burst 100 -j ACCEPT

2. 端口扫描防护

# 记录并阻止端口扫描
sudo iptables -A INPUT -p tcp --tcp-flags SYN,ACK,FIN,RST RST -m limit --limit 1/s -j ACCEPT
sudo iptables -A INPUT -p tcp --tcp-flags SYN,ACK,FIN,RST RST -j DROP

3. IP黑名单管理

# 创建自定义链
sudo iptables -N BLACKLIST
sudo iptables -A INPUT -j BLACKLIST

# 添加恶意IP（示例）
sudo iptables -A BLACKLIST -s 192.168.1.100 -j DROP

五、规则持久化保存

重要提示：iptables规则默认重启后会丢失，必须手动保存：

1. CentOS/RHEL系统

sudo service iptables save
sudo chkconfig iptables on

2. Ubuntu/Debian系统

sudo apt-get install iptables-persistent
sudo netfilter-persistent save

六、常见问题排查

• Q：配置后无法连接服务器？
  A：立即通过云控制台VNC连接，检查规则或恢复默认设置
• Q：规则保存失败？
  A：确保有root权限，且安装了对应的保存工具
• Q：如何查看被拒绝的包？
  A：使用命令：sudo iptables -L -n -v查看计数器