如何用Linux防火墙阻止恶意攻击

首页

网络安全

如何用Linux防火墙阻止恶意攻击

热心网友

转载

2026-04-26

筑牢防线：如何用Linux防火墙有效抵御恶意攻击

在服务器安全领域，配置一道坚固的防火墙往往是抵御外部恶意流量的第一道，也是至关重要的一道屏障。无论是经典的iptables还是更现代的firewalld，只要策略得当，都能显著提升系统的安全性。下面，我们就来梳理一下配置防火墙的核心步骤与策略。

免费影视、动漫、音乐、游戏、小说资源长期稳定更新！ 👉 点此立即查看 👈

使用iptables

作为Linux上历史悠久的防火墙工具，iptables以其强大的功能和灵活性著称。掌握其基本配置逻辑，是许多运维人员的必修课。

更新iptables规则：

工欲善其事，必先利其器。第一步自然是确保你的iptables工具本身是最新版本。在Debian或Ubuntu系统上，一条简单的命令就能搞定：
- sudo apt update && sudo apt upgrade iptables
设置默认策略：

安全配置的核心原则之一是“默认拒绝”。这意味着，所有未经明确允许的入站和转发流量都将被丢弃，而出站流量通常可以放行。设置命令如下：
- ```
sudo iptables -P INPUT DROP
sudo iptables -P FORWARD DROP
sudo iptables -P OUTPUT ACCEPT
```

允许必要的流量：

“一刀切”的拒绝会阻断所有服务，因此我们需要为合法的业务流量开“绿灯”。

允许SSH连接（以默认端口22为例）： 这是管理服务器的生命线，必须开放。

sudo iptables -A INPUT -p tcp --dport 22 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT
sudo iptables -A OUTPUT -p tcp --sport 22 -m conntrack --ctstate ESTABLISHED -j ACCEPT

允许HTTP/HTTPS流量： 如果服务器承载Web服务，则需要开放80和443端口。

sudo iptables -A INPUT -p tcp --dport 80 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT
sudo iptables -A OUTPUT -p tcp --sport 80 -m conntrack --ctstate ESTABLISHED -j ACCEPT
sudo iptables -A INPUT -p tcp --dport 443 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT
sudo iptables -A OUTPUT -p tcp --sport 443 -m conntrack --ctstate ESTABLISHED -j ACCEPT

限制连接数：

面对DDoS这类洪水攻击，一个有效的缓解策略是限制单个IP地址的并发连接数，比如将其限制在5个以下：
- ```
sudo iptables -A INPUT -p tcp --syn -m connlimit --connlimit-above 5 -j DROP
```
保存规则：

切记，通过命令行配置的iptables规则在重启后会失效。因此，保存规则是收尾的关键一步。在Debian/Ubuntu上，可以借助iptables-persistent工具：
- ```
sudo apt install iptables-persistent
sudo netfilter-persistent sa ve
sudo netfilter-persistent reload
```

使用firewalld

对于追求配置简化和动态管理能力的用户，firewalld是一个更现代的选择。它通过“区域”和“服务”的概念，让防火墙规则管理变得直观。

安装firewalld：

如果系统尚未安装，可以通过包管理器轻松获取。例如在Debian/Ubuntu上：
- sudo apt update && sudo apt install firewalld
启动并启用firewalld：

安装后，需要启动服务并设置为开机自动运行：
- ```
sudo systemctl start firewalld
sudo systemctl enable firewalld
```

配置默认区域：

将默认区域设置为drop（与iptables的默认拒绝异曲同工），并确保本地回环接口和地址被信任，这是保证系统内部服务正常通信的基础：

sudo firewall-cmd --set-default-zone=drop
sudo firewall-cmd --permanent --zone=trusted --add-interface=lo
sudo firewall-cmd --permanent --zone=trusted --add-source=127.0.0.1
sudo firewall-cmd --reload

允许SSH连接：

同样，我们需要放行SSH服务。firewalld允许我们直接以服务名称来添加规则：
```
sudo firewall-cmd --permanent --zone=trusted --add-service=ssh
sudo firewall-cmd --reload
```

允许HTTP/HTTPS流量：

对于Web服务，操作同样简洁：

sudo firewall-cmd --permanent --zone=trusted --add-service=http
sudo firewall-cmd --permanent --zone=trusted --add-service=https
sudo firewall-cmd --reload