Linux云服务器iptables防火墙配置完全指南

一、iptables基础概念

iptables是Linux内核中内置的防火墙工具，它通过规则链(Chain)来管理网络数据包的流动。主要包含三个默认链：

• INPUT链：处理进入本机的数据包
• OUTPUT链：处理从本机发出的数据包
• FORWARD链：处理转发到其他主机的数据包

二、云服务器上iptables的特殊注意事项

在配置云服务器iptables时，需要特别注意以下几点：

1. 云服务商可能有自己的安全组规则，需要与iptables配合使用
2. 错误的iptables配置可能导致SSH连接中断，建议通过控制台访问服务器
3. 云服务器通常有多个网卡，配置时需考虑内外网流量差异

三、iptables配置实战

1. 查看当前规则

iptables -L -n -v

2. 基本安全配置

# 清空所有规则
iptables -F
iptables -X

# 设置默认策略
iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT ACCEPT

# 允许本地回环
iptables -A INPUT -i lo -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT

# 允许已建立的连接
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

3. 开放必要端口

# 允许SSH连接(假设使用默认22端口)
iptables -A INPUT -p tcp --dport 22 -j ACCEPT

# 允许HTTP/HTTPS
iptables -A INPUT -p tcp --dport 80 -j ACCEPT
iptables -A INPUT -p tcp --dport 443 -j ACCEPT

# 允许PING
iptables -A INPUT -p icmp --icmp-type echo-request -j ACCEPT

4. 防御常见攻击

# 防止SYN洪水攻击
iptables -A INPUT -p tcp --syn -m limit --limit 1/s --limit-burst 3 -j ACCEPT

# 防止端口扫描
iptables -N ANTISCAN
iptables -A ANTISCAN -m limit --limit 1/s -j LOG --log-prefix "Port scan detected: "
iptables -A ANTISCAN -j DROP
iptables -A INPUT -m recent --name portscan --rcheck --seconds 86400 -j ANTISCAN
iptables -A INPUT -m recent --name portscan --set

四、保存iptables规则

在大多数Linux发行版中，iptables规则重启后会丢失，需要手动保存：

CentOS/RHEL:

service iptables save

Ubuntu/Debian:

apt-get install iptables-persistent
netfilter-persistent save

五、iptables规则优化建议

• 将频繁匹配的规则放在链的前面以提高性能
• 使用iptables-save备份规则
• 定期审查iptables日志
• 考虑使用iptables的扩展模块如connlimit、recent等增强安全性

六、常见问题解答

Q: 配置错误导致无法连接服务器怎么办？

A: 通过云服务商提供的控制台访问服务器，然后恢复iptables规则或重启服务器。

Q: 如何查看iptables的实时日志？

A: 可以使用命令tail -f /var/log/syslog或dmesg查看iptables日志。

Q: iptables和firewalld有什么区别？

A: firewalld是iptables的前端管理工具，底层仍然使用iptables。在云服务器上使用iptables可以获得更直接的控制。