云服务器安全防护：从零开始配置IPtables防火墙规则
在云计算时代，服务器的安全性尤为重要。作为Linux系统中最强大的防火墙工具之一，IPtables能够有效保护您的云服务器免受网络攻击。本文将手把手教您如何从零开始配置IPtables规则，确保服务器安全的同时不影响正常业务运行。
一、IPtables基础知识
IPtables是Linux内核集成的包过滤系统，它通过定义规则链来控制网络数据包的流动。理解以下几个核心概念至关重要：
- 表(Table)：filter(默认)、nat、mangle等不同功能的规则集合
- 链(Chain)：INPUT(入站)、OUTPUT(出站)、FORWARD(转发)等处理环节
- 规则(Rule)：具体的匹配条件和处理动作
- 目标(Target)：ACCEPT(接受)、DROP(丢弃)、REJECT(拒绝)等处理结果
二、基础规则配置实战
1. 清空现有规则
iptables -F # 清空所有链规则 iptables -X # 删除用户自定义链 iptables -Z # 计数器清零
2. 设置默认策略
推荐先设置严格的默认策略：
iptables -P INPUT DROP # 默认拒绝所有入站 iptables -P OUTPUT ACCEPT # 允许所有出站 iptables -P FORWARD DROP # 禁止转发
3. 允许本地回环
iptables -A INPUT -i lo -j ACCEPT iptables -A OUTPUT -o lo -j ACCEPT
三、业务端口开放策略
根据您的实际业务需求开放必要端口：
| 服务 | 端口 | 规则示例 |
|---|---|---|
| SSH远程管理 | 22/TCP | iptables -A INPUT -p tcp --dport 22 -j ACCEPT |
| Web服务 | 80,443/TCP | iptables -A INPUT -p tcp --dport 80 -j ACCEPT |
| 数据库 | 3306/TCP | iptables -A INPUT -s 192.168.1.0/24 -p tcp --dport 3306 -j ACCEPT |
四、高级安全防护配置
1. 防止SSH暴力破解
iptables -A INPUT -p tcp --dport 22 -m state --state NEW -m recent --set --name SSH iptables -A INPUT -p tcp --dport 22 -m state --state NEW -m recent --update --seconds 60 --hitcount 4 --name SSH -j DROP
2. 防御DDoS攻击
iptables -A INPUT -p tcp --dport 80 -m limit --limit 25/minute --limit-burst 100 -j ACCEPT
3. 允许ICMP协议
合理控制ping请求：
iptables -A INPUT -p icmp --icmp-type echo-request -m limit --limit 1/s -j ACCEPT
五、规则持久化保存
避免重启后规则丢失：
Ubuntu/Debian系统：
iptables-save > /etc/iptables.rules apt install iptables-persistent -y
CentOS/RHEL系统：
service iptables save chkconfig iptables on
最佳实践建议
- 采用白名单机制，只开放必要端口
- 重要服务限制访问源IP
- 定期备份iptables规则
- 结合fail2ban等工具增强防护
- 使用iptables -L -n定期检查规则
通过合理配置IPtables规则，您可以为云服务器构建强大的第一道安全防线。建议在实际操作前先在测试环境验证规则，避免因配置错误导致服务器无法访问。
扩展学习资源
- 《Linux防火墙（第4版）》- Michael Rash
- iptables官方文档：https://www.netfilter.org/
- Linux安全加固指南：CIS Benchmark