IPtables是Linux内核集成的包过滤系统，通过定义规则链来控制网络数据包的流向。它包含三个默认链：

• INPUT链：处理进入本机的数据包
• OUTPUT链：处理从本机发出的数据包
• FORWARD链：处理转发的数据包

在云服务器环境中，我们主要关注INPUT链的配置，因为它直接关系到服务器的安全性。

在开始配置IPtables之前，建议您：

1. 确保您有root权限或sudo权限
2. 备份现有规则：iptables-save > /etc/iptables.rules.backup
3. 确认SSH端口号（默认22），避免配置错误导致无法远程连接
4. 了解您的应用需要开放的端口（如HTTP 80、HTTPS 443等）

以下是针对云服务器的基础安全规则配置步骤：

# 1. 清空现有规则
iptables -F
iptables -X

# 2. 设置默认策略（拒绝所有输入，允许所有输出和转发）
iptables -P INPUT DROP
iptables -P OUTPUT ACCEPT
iptables -P FORWARD DROP

# 3. 允许本地回环接口
iptables -A INPUT -i lo -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT

# 4. 允许已建立的连接和相关的数据包
iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

# 5. 开放SSH端口（假设使用2222端口）
iptables -A INPUT -p tcp --dport 2222 -j ACCEPT

# 6. 开放HTTP/HTTPS端口
iptables -A INPUT -p tcp --dport 80 -j ACCEPT
iptables -A INPUT -p tcp --dport 443 -j ACCEPT

# 7. 允许ping（ICMP协议）
iptables -A INPUT -p icmp --icmp-type echo-request -j ACCEPT

1. 防止端口扫描

iptables -N PORT-SCAN
iptables -A PORT-SCAN -p tcp --tcp-flags SYN,ACK,FIN,RST RST -m limit --limit 1/s -j RETURN
iptables -A PORT-SCAN -j DROP

2. 防御DDoS攻击

iptables -A INPUT -p tcp --dport 80 -m connlimit --connlimit-above 20 -j REJECT --reject-with tcp-reset

3. 限制连接速率

iptables -A INPUT -p tcp --dport 80 -m limit --limit 25/minute --limit-burst 100 -j ACCEPT

配置完成后，需要将规则保存并设置为开机自动加载：

# 保存规则（Ubuntu/Debian）
iptables-save > /etc/iptables.rules

# 创建自动加载脚本
echo "pre-up iptables-restore < /etc/iptables.rules" >> /etc/network/interfaces

# 或者使用iptables-persistent（推荐）
apt-get install iptables-persistent
netfilter-persistent save

问题1：规则配置后无法访问服务器
解决方案：检查是否锁定了SSH端口，可以通过云服务商的控制台使用VNC连接修复。

问题2：规则未生效
解决方案：检查是否有其他防火墙服务（如firewalld）冲突，建议停用其他防火墙服务。

问题3：重启后规则丢失
解决方案：确保已正确安装iptables-persistent并保存规则。