Linux云服务器安全防护：IPtables防火墙配置全指南

一、IPtables防火墙基础概念

IPtables是Linux内核集成的包过滤系统，它可以根据预定义的规则对进出服务器的网络流量进行控制。理解IPtables的基本工作原理是进行有效配置的前提。

• 表(Table)：包含特定功能的规则集合，主要有filter、nat和mangle三种
• 链(Chain)：规则执行的路径，如INPUT、OUTPUT和FORWARD
• 规则(Rule)：具体的过滤条件和对数据包的处理方式
• 目标(Target)：对匹配规则的数据包采取的动作，如ACCEPT、DROP等

二、检查并安装IPtables

大多数Linux发行版已预装IPtables，但我们可以通过以下命令确认：

# 检查IPtables是否安装
sudo iptables -V
sudo systemctl status iptables

如果未安装，可以根据不同发行版进行安装：

# Ubuntu/Debian
sudo apt-get update
sudo apt-get install iptables

# CentOS/RHEL
sudo yum install iptables-services

三、IPtables基本配置步骤

1. 查看当前规则

sudo iptables -L -n -v

2. 设置默认策略

配置默认的链策略是一个良好的安全实践：

sudo iptables -P INPUT DROP
sudo iptables -P FORWARD DROP
sudo iptables -P OUTPUT ACCEPT

3. 允许本地回环接口

sudo iptables -A INPUT -i lo -j ACCEPT
sudo iptables -A OUTPUT -o lo -j ACCEPT

4. 允许已建立的连接

sudo iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

5. 开放必要的端口

根据服务器用途开放相应端口，例如：

# SSH (端口22)
sudo iptables -A INPUT -p tcp --dport 22 -j ACCEPT

# HTTP (端口80)
sudo iptables -A INPUT -p tcp --dport 80 -j ACCEPT

# HTTPS (端口443)
sudo iptables -A INPUT -p tcp --dport 443 -j ACCEPT

四、高级配置技巧

1. 限制SSH连接

为增强SSH安全性，可以限制连接频率：

sudo iptables -A INPUT -p tcp --dport 22 -m conntrack --ctstate NEW -m recent --set
sudo iptables -A INPUT -p tcp --dport 22 -m conntrack --ctstate NEW -m recent --update --seconds 60 --hitcount 4 -j DROP

2. 防御DDoS攻击

sudo iptables -A INPUT -p tcp --dport 80 -m limit --limit 25/minute --limit-burst 100 -j ACCEPT

3. 端口转发

实现NAT功能：

sudo iptables -t nat -A PREROUTING -p tcp --dport 80 -j REDIRECT --to-port 8080

五、保存和恢复规则

IPtables规则默认不会永久保存，需要手动保存并在启动时恢复：

# Ubuntu/Debian
sudo iptables-save > /etc/iptables.rules
sudo apt-get install iptables-persistent

# CentOS/RHEL 7+
sudo service iptables save
sudo systemctl enable iptables

六、常见问题排查

• 无法连接服务器：检查是否误封锁了必要端口
• 规则不生效：确认规则顺序是否正确（IPtables按顺序匹配）
• 服务异常：检查是否限制了相关的ICMP协议