一、iptables防火墙基础知识

iptables是Linux内核中内置的防火墙解决方案，它通过定义规则来控制网络数据包的流向。理解iptables的三个关键概念至关重要：

• 表(Table)：filter(过滤)、nat(地址转换)、mangle(包修改)、raw(原始数据包处理)
• 链(Chain)：INPUT(入站)、OUTPUT(出站)、FORWARD(转发)、PREROUTING(路由前)、POSTROUTING(路由后)
• 规则(Rule)：匹配条件和目标动作的组合

二、iptables基本配置命令

以下是最常用的iptables命令示例：

# 查看当前规则
iptables -L -n -v

# 允许SSH连接(22端口)
iptables -A INPUT -p tcp --dport 22 -j ACCEPT

# 允许已建立的连接
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

# 默认拒绝所有入站流量
iptables -P INPUT DROP

三、实用防火墙规则配置

以下是生产环境中推荐的基础防火墙配置：

1. 清空现有规则：iptables -F
2. 设置默认策略：iptables -P INPUT DROP
3. 允许本地回环：iptables -A INPUT -i lo -j ACCEPT
4. 允许ICMP(ping)：iptables -A INPUT -p icmp -j ACCEPT
5. 开放必要的服务端口(如HTTP/HTTPS)

四、高级配置技巧

对于更复杂的环境，可以考虑以下高级配置：

• 限制连接速率防止DDOS攻击
• 基于IP地址的白名单/黑名单
• 端口转发和NAT配置
• 日志记录和监控

# 限制SSH连接频率
iptables -A INPUT -p tcp --dport 22 -m state --state NEW -m recent --set
iptables -A INPUT -p tcp --dport 22 -m state --state NEW -m recent --update --seconds 60 --hitcount 4 -j DROP

五、规则持久化保存

iptables规则默认不会保存，重启后会丢失。在Ubuntu/Debian上使用：

iptables-save > /etc/iptables.rules
apt install iptables-persistent

在CentOS/RHEL上使用：

service iptables save
chkconfig iptables on

六、常见问题排查

配置防火墙时可能遇到的问题：

• 规则顺序错误导致意外拦截
• 忘记保存规则导致重启后失效
• 过于严格的规则导致服务不可用
• 没有考虑IPv6防火墙配置