iptables实战：如何用5条命令搞定服务器基础防火墙配置（附常用规则模板）

从零到一：用五条核心命令构建你的Linux服务器第一道防线

刚接手一台裸奔的Linux服务器，那种感觉就像把家门钥匙插在锁上就出门旅行——心里总是不踏实。互联网上的扫描器24小时不间断地“敲门”，各种自动化攻击脚本四处游荡，而你的业务数据、用户信息、乃至整个服务稳定性，都暴露在未知的风险中。对于很多新手运维或开发者来说，配置防火墙常常是那个“知道很重要，但不知从何下手”的环节。面对iptables冗长的命令手册和复杂的规则链，很多人选择了拖延，或者干脆直接关闭防火墙，这无疑为系统埋下了巨大的安全隐患。

今天，我们不谈枯燥的语法理论，不搞长篇大论的概念剖析。我们就解决一个最实际的问题：如何用最少、最关键的几条命令，快速为你的服务器搭建一个坚实、可用的基础防火墙，并且确保在这个过程中不会把自己锁在门外。 本文面向的是需要快速上手、注重实效的服务器管理员，无论你是个人项目开发者，还是中小团队的技术负责人，都能在十分钟内获得一个“开箱即用”的安全配置方案。让我们暂时忘掉那些令人眼花缭乱的参数，聚焦于真正保护服务的核心逻辑。

1. 理解防火墙配置前的“生存法则”

在真正敲下第一条iptables命令之前，我们必须确立几个至关重要的原则。这些原则不是技术细节，而是保障操作安全、避免灾难性错误的“生存法则”。我见过不止一位同事，因为忽略了这些前置步骤，导致服务器失联，不得不求助机房进行带外管理，过程狼狈不堪。

首要法则：永远为自己留一条后路。 在修改任何可能影响远程连接的规则（尤其是针对SSH端口）之前，必须确保有备用的访问通道，或者设置一个不会立即生效的“逃生舱”规则。对于云服务器用户，大多数服务商都提供了“安全组”功能。强烈建议你先在云平台的安全组规则中，放行你的个人办公IP地址到22端口（SSH），并将此规则设置为最高优先级。这样，即使后续的iptables配置出错，你依然可以通过安全组这条“上帝通道”连入服务器进行修复。

注意：在开始配置前，请务必通过 iptables -L -n –line-numbers 命令查看当前所有规则及其编号。如果输出显示规则链非空，请记录下所有现有的ACCEPT规则，特别是关于INPUT链和OUTPUT链的，以备不时之需。

第二法则：默认拒绝，显式允许。 这是网络安全领域最经典的设计哲学。我们的目标不是列出所有要阻止的坏东西（那是不可能的），而是明确定义哪些是好的、被允许的流量，然后拒绝其他一切。在iptables中，这意味着我们将把INPUT链（处理进入服务器的数据包）和FORWARD链（转发数据包）的默认策略（Policy）设置为DROP，而OUTPUT链（服务器发出的数据包）通常可以保持为ACCEPT，以保证服务器能正常访问外部资源。

第三法则：规则的顺序就是防火墙的思维逻辑。 iptables会从上到下依次匹配规则，一旦匹配成功就执行对应动作并停止后续匹配。因此，最具体、最常用的规则应该放在最前面，而最宽泛的规则（如默认的DROP）则通过策略隐式地放在最后。一个常见的错误是把允许某个IP的规则放在了拒绝所有流量的规则之后，导致前者永远无法生效。

为了让你对即将构建的防火墙结构有个直观印象，我们先看一个简化版的规则表示例，它描述了我们完成配置后的核心逻辑流：