Iptables是Linux内核集成的包过滤系统，通过定义规则链(Chain)来控制网络数据包的流向。主要包含三个默认链：

• INPUT链：处理进入本机的数据包
• OUTPUT链：处理从本机发出的数据包
• FORWARD链：处理转发的数据包

在云服务器环境中，尤其需要注意INPUT链的配置，因为它直接关系到服务器的安全防护。

1. 准备工作

在开始配置前，请确保：

• 已通过SSH连接到云服务器
• 拥有root或sudo权限
• 备份现有规则：iptables-save > /etc/iptables.rules.backup

2. 基本规则设置

# 清空现有规则
iptables -F
iptables -X

# 设置默认策略（建议配置）
iptables -P INPUT DROP
iptables -P OUTPUT ACCEPT
iptables -P FORWARD DROP

# 允许本地回环
iptables -A INPUT -i lo -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT

# 允许已建立的连接
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

3. 开放必要端口

根据服务需求开放相应端口：

# SSH端口（示例为2222）
iptables -A INPUT -p tcp --dport 2222 -j ACCEPT

# Web服务端口
iptables -A INPUT -p tcp --dport 80 -j ACCEPT
iptables -A INPUT -p tcp --dport 443 -j ACCEPT

1. 处理云厂商元数据服务

大多数云平台通过169.254.169.254提供元数据服务，需特别放行：

iptables -A OUTPUT -d 169.254.169.254 -j ACCEPT
iptables -A INPUT -s 169.254.169.254 -j ACCEPT

2. 防止云环境中的常见攻击

# 防止SYN洪水攻击
iptables -A INPUT -p tcp --syn -m limit --limit 1/s -j ACCEPT

# 限制ICMP请求
iptables -A INPUT -p icmp --icmp-type echo-request -m limit --limit 1/s -j ACCEPT

# 阻止无效数据包
iptables -A INPUT -m state --state INVALID -j DROP

在多数Linux发行版中，Iptables规则重启后会丢失，需要额外步骤保存：

1. Ubuntu/Debian系统

apt-get install iptables-persistent
netfilter-persistent save

2. CentOS/RHEL系统

service iptables save
# 或
/usr/libexec/iptables/iptables.init save

3. 通用方法

iptables-save > /etc/sysconfig/iptables
# 开机自动加载
echo "iptables-restore < /etc/sysconfig/iptables" >> /etc/rc.local

1. 端口转发配置

# 启用IP转发
echo 1 > /proc/sys/net/ipv4/ip_forward

# 将外部80端口转发到内部8080
iptables -t nat -A PREROUTING -p tcp --dport 80 -j REDIRECT --to-port 8080

2. 基于地理位置的访问控制

使用ipset配合国家IP段数据库：

# 安装ipset
apt-get install ipset

# 创建中国IP集合
ipset -N china hash:net
# 添加中国IP段（示例）
ipset -A china 1.0.1.0/24
...

# 只允许中国IP访问SSH
iptables -A INPUT -p tcp --dport 22 -m set --match-set china src -j ACCEPT