一、iptables基础安全配置原则

在开始具体配置前，我们需要遵循几个核心安全原则：

• 最小权限原则：只开放必要的端口和服务
• 默认拒绝策略：设置默认的INPUT和FORWARD链为DROP
• 日志记录：对所有被拒绝的流量进行记录
• 定期审计：建立规则审查机制

二、实战配置指南

1. 初始化安全策略

# 设置默认策略
iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT ACCEPT

# 允许本地回环
iptables -A INPUT -i lo -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT

2. 建立连接状态检测

# 允许已建立的连接和相关的连接
iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

3. 服务端口精细化控制

# SSH防护（限制来源IP和连接频率）
iptables -A INPUT -p tcp --dport 22 -m iprange --src-range 192.168.1.100-192.168.1.200 -m recent --name SSH --set
iptables -A INPUT -p tcp --dport 22 -m iprange --src-range 192.168.1.100-192.168.1.200 -m recent --name SSH --rcheck --seconds 60 --hitcount 3 -j DROP
iptables -A INPUT -p tcp --dport 22 -m iprange --src-range 192.168.1.100-192.168.1.200 -j ACCEPT

三、高级防护策略

1. 防范DDoS攻击

# 限制ICMP请求
iptables -A INPUT -p icmp --icmp-type echo-request -m limit --limit 1/s -j ACCEPT

# SYN泛洪防护
iptables -N SYN_FLOOD
iptables -A INPUT -p tcp --syn -j SYN_FLOOD
iptables -A SYN_FLOOD -m limit --limit 1/s --limit-burst 3 -j RETURN
iptables -A SYN_FLOOD -j DROP

2. 端口敲门技术

通过特定端口访问序列来临时开放管理端口：

# 创建敲门链
iptables -N KNOCKING
iptables -N KNOCK1
iptables -N KNOCK2
iptables -N KNOCK3

# 设置敲门规则
iptables -A INPUT -j KNOCKING
iptables -A KNOCKING -p udp --dport 7000 -m recent --name KNOCK1 --set -j DROP
iptables -A KNOCKING -p udp --dport 8000 -m recent --rcheck --name KNOCK1 -m recent --name KNOCK2 --set -j DROP
iptables -A KNOCKING -p udp --dport 9000 -m recent --rcheck --name KNOCK2 -m recent --name KNOCK3 --set -j DROP
iptables -A KNOCKING -m recent --rcheck --name KNOCK3 -j ACCEPT

四、规则持久化与维护

1. 保存当前规则

# Debian/Ubuntu系统
iptables-save > /etc/iptables.rules

# CentOS/RHEL系统
service iptables save

2. 自动化规则管理

建议使用专业的防火墙管理工具如：

• Firewalld
• UFW(Uncomplicated Firewall)
• Shorewall