iptables或firewalld配置规则，限制特定 IP
在Linux系统中,限制IP访问端口号是加强系统安全性的重要措施之一，以下是几种常见的方法来实现这一目标：
使用iptables防火墙规则
| 命令参数 | 说明 |
|---|---|
-A INPUT |
将规则添加到INPUT链，用于处理进入本机的流量 |
-p tcp |
指定协议为TCP，可根据需要改为udp等其他协议 |
-s [源IP地址] |
指定源IP地址，即要限制的IP |
--dport [端口号] |
指定目的端口号 |
-j ACCEPT/DROP |
ACCEPT表示允许，DROP表示拒绝 |
示例1：允许特定IP访问特定端口
假设只允许IP为168.1.100的主机访问本机的80端口，可使用以下命令：
sudo iptables -A INPUT -p tcp -s 192.168.1.100 --dport 80 -j ACCEPT这条规则会允许来自168.1.100的TCP流量访问本机的80端口。
示例2：禁止特定IP访问特定端口
若要禁止IP为168.1.101的主机访问本机的80端口，命令如下：
sudo iptables -A INPUT -p tcp -s 192.168.1.101 --dport 80 -j DROP此规则会阻止来自168.1.101的TCP流量访问本机的80端口。
使用firewalld防火墙
| 命令参数 | 说明 |
|---|---|
--permanent |
使规则永久生效，若不加此参数，规则在重启后会丢失 |
--add-rich-rule |
添加丰富的规则，可定义更复杂的匹配条件 |
rule family="ipv4" |
指定规则适用于IPv4（也可改为ipv6） |
source address="[源IP地址]" |
指定源IP地址 |
port port="[端口号]" protocol="[协议名称]" accept/reject |
指定目的端口、协议及接受或拒绝操作 |
示例：禁止特定IP访问特定端口
禁止IP为168.1.102的主机访问本机的22端口，命令如下：
sudo firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="192.168.1.102" port port="22" protocol="tcp" reject'
sudo firewall-cmd --reload这里使用了reject，表示拒绝连接并通知客户端，也可以根据需要改为accept或其他合适的动作。
修改应用程序配置文件
某些应用程序自身具有访问控制的配置选项,可在应用程序的配置文件中进行设置，限制特定IP对应用程序所监听端口的访问，对于Nginx服务器，可以通过配置ngx_http_access_module模块来实现基于IP的访问控制，在Nginx的配置文件（通常位于/etc/nginx/nginx.conf或/etc/nginx/sites-available/default等位置）中，可以添加如下指令：
allow 192.168.1.103; # 允许该IP访问
deny all; # 拒绝其他所有IP访问这样,只有168.1.103这个IP可以访问Nginx服务器，其他IP将被拒绝访问。
使用TCP Wrappers（仅适用于支持的应用程序）
TCP Wrappers是一种用于网络服务的访问控制机制，通过编辑/etc/hosts.allow和/etc/hosts.deny文件来设置允许或拒绝访问的规则，要在sshd服务中允许168.1.104访问，拒绝其他所有IP访问，可以在/etc/hosts.allow文件中添加：
sshd: 192.168.1.104并在/etc/hosts.deny文件中添加：
sshd: ALL这样,当有远程主机尝试通过ssh连接到本机时，系统会根据这两个文件中的规则进行判断，决定是否允许访问。
小编总结与注意事项
在实际操作中,可以根据具体需求选择合适的方法来限制IP访问端口号，如果需要对整个系统的所有端口进行统一的访问控制，使用iptables或firewalld防火墙是比较合适的；如果只是针对特定的应用程序，修改应用程序的配置文件可能更加简单直接，在设置规则时，要确保规则的准确性和合理性，以免误封合法IP或导致不必要的服务中断，定期检查和更新防火墙规则也是维护系统安全的重要环节。
相关FAQs
问题1：设置的规则不起作用怎么办？
答：首先检查规则是否正确输入，包括IP地址、端口号、协议等参数是否准确，然后查看防火墙服务是否正常启动，对于iptables，可以使用sudo service iptables status命令检查；对于firewalld，可以使用sudo firewall-cmd --state命令检查，如果防火墙服务未启动，需要先启动服务，还要检查是否有其他规则冲突或覆盖了当前设置的规则。
问题2：如何删除已设置的限制IP访问端口号的规则？
答：对于iptables，如果是使用-A添加的规则，可以使用sudo iptables -D INPUT [规则详情]命令删除相应的规则，其中[规则详情]要根据具体的规则内容填写，如-p tcp -s [源IP地址] --dport [端口号]等，对于firewalld，如果是使用--add-rich-rule添加的规则，可以使用sudo firewall-cmd --permanent --remove-rich-rule='[规则内容]'命令删除，然后使用sudo firewall-cmd --reload重新加载防火墙规则，如果是修改应用程序配置文件或使用TCP Wrappers设置的规则，需要手动编辑相应的配置文件，
到此，以上就是小编对于linux 如何限制ip访问端口号的问题就介绍到这了，希望介绍的几点解答对大家有用，有任何问题和不懂的，欢迎各位朋友在评论区讨论，给我留言。
原创文章，发布者：酷番叔，转转请注明出处：https://cloud.kd.cn/ask/11457.html
