Iptables是Linux内核中的一种强大的包过滤和防火墙工具，它允许您定义复杂的规则来控制网络流量。通过正确地配置iptables规则，您可以显著提高虚拟专用服务器（VPS）的安全性。
一、安装与基本命令
大多数Linux发行版默认已经安装了iptables。如果您不确定是否已安装，请使用以下命令进行检查：
sudo iptables --version
如果系统提示未找到该命令，则需要先安装它：
对于基于Debian/Ubuntu的系统：sudo apt-get update && sudo apt-get install iptables
对于基于Red Hat/CentOS/Fedora的系统：sudo yum install iptables-services
在开始编写规则之前，建议先备份当前配置，并确保知道如何恢复默认设置。可以通过以下命令查看现有的iptables规则：
sudo iptables -L -v -n
二、设定默认策略
为了最大程度地保护您的VPS，在设置任何特定规则之前，应该首先为INPUT、OUTPUT和FORWARD链指定一个合理的默认行为。通常情况下，我们会选择拒绝所有传入连接，而允许所有传出连接。
sudo iptables -P INPUT DROP
sudo iptables -P FORWARD DROP
sudo iptables -P OUTPUT ACCEPT
这三条命令将分别把三个主要链的默认操作设为DROP(丢弃)、DROP以及ACCEPT(接受)，从而确保只有明确允许的流量才能进入或离开服务器。
三、允许必需的服务端口
根据实际需求打开必要的服务端口非常重要。例如，如果您正在运行一个Web服务器，则可能需要允许HTTP(S)请求。下面是一些常见服务对应的端口号及其对应的iptables命令示例：
- SSH (22):
sudo iptables -A INPUT -p tcp --dport 22 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT - HTTP (80):
sudo iptables -A INPUT -p tcp --dport 80 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT - HTTPS (443):
sudo iptables -A INPUT -p tcp --dport 443 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT
请注意，上面提到的每个命令都将相应的协议(tcp)、目标端口(–dport)以及连接状态(-m conntrack –ctstate)作为参数传递给iptables。其中，NEW表示新建立的连接，ESTABLISHED代表已经存在的会话。
四、限制IP地址访问
有时我们只想让某些特定的IP地址能够访问我们的VPS。这时可以利用iptables中的源地址匹配功能实现这一点。假设您想要仅允许来自192.168.1.100这台机器上的SSH登录尝试，那么可以添加如下规则：
sudo iptables -I INPUT -p tcp -s 192.168.1.100 --dport 22 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT
-I选项用于插入一条新的规则到指定链的最前面位置；-s参数后面跟着的是允许访问的源IP地址。
五、阻止恶意IP
当发现有可疑活动时，可以通过添加拒绝规则来阻止这些IP继续尝试连接到服务器。例如，要禁止来自192.168.1.200的所有流量：
sudo iptables -A INPUT -s 192.168.1.200 -j DROP
还可以结合日志分析工具如fail2ban自动封禁频繁失败的登录尝试者。
六、保存并启动iptables服务
完成所有规则配置后，不要忘记保存更改并使iptables开机自启。
对于Debian/Ubuntu:sudo sh -c "iptables-save > /etc/iptables/rules.v4"
对于Red Hat/CentOS/Fedora:sudo service iptables save
sudo systemctl enable iptables
现在，您已经成功地为VPS设置了基本的iptables安全规则。请定期审查和更新规则集以适应不断变化的需求和技术环境。
本文由阿里云优惠网发布。发布者：编辑员。禁止采集与转载行为，违者必究。出处：https://aliyunyh.com/150376.html
其原创性以及文中表达的观点和判断不代表本网站。如有问题，请联系客服处理。
