如何屏蔽入站流量防安全风险？

在Linux系统中,端口屏蔽是网络安全的核心实践之一，通过控制特定端口的访问权限，可有效防止未授权访问、恶意扫描和攻击，以下详细介绍两种主流工具的操作方法（基于CentOS/Ubuntu等主流发行版），请根据实际环境选择。

使用 iptables 屏蔽端口

iptables 是 Linux 内核集成的防火墙工具，适合所有主流发行版。

屏蔽指定端口（以 22/TCP 为例）

# 屏蔽出站流量（OUTPUT链）
sudo iptables -A OUTPUT -p tcp --dport 22 -j DROP

• -A INPUT：追加到INPUT链（入站规则）
• -p tcp：指定TCP协议
• --dport 22：目标端口22
• -j DROP：丢弃数据包（无响应）

允许特定IP访问端口（白名单）

# 仅允许 192.168.1.100 访问22端口
sudo iptables -A INPUT -p tcp -s 192.168.1.100 --dport 22 -j ACCEPT
sudo iptables -A INPUT -p tcp --dport 22 -j DROP  # 其他IP禁止访问

保存规则（重启后生效）

# Ubuntu/Debian
sudo iptables-save > /etc/iptables/rules.v4
# CentOS/RHEL
sudo service iptables save

使用 firewalld 屏蔽端口（推荐用于 CentOS/RHEL 7+）

firewalld 提供动态管理支持，更易用。

永久屏蔽端口

# 屏蔽TCP 3306端口（MySQL默认端口）
sudo firewall-cmd --permanent --remove-port=3306/tcp
# 屏蔽UDP 53端口（DNS）
sudo firewall-cmd --permanent --remove-port=53/udp

允许特定服务（如HTTP/HTTPS）

sudo firewall-cmd --permanent --add-service=http  # 放行80端口
sudo firewall-cmd --permanent --add-service=https # 放行443端口

生效配置

sudo firewall-cmd --reload  # 重载配置
sudo firewall-cmd --list-ports  # 查看已屏蔽端口

其他工具补充

• UFW (Ubuntu 简化工具)：

  sudo ufw deny 22/tcp  # 屏蔽22端口
  sudo ufw allow from 192.168.1.0/24 to any port 80  # 允许子网访问80端口

• nftables (iptables 替代品)：
  适用于新内核（≥Linux 3.13），语法更简洁。

关键注意事项

1. 避免锁定自己
   • 操作前确保允许当前SSH连接的IP（或保留一个活动会话）。
   • 测试规则后保存,防止重启失效。
2. 规则优先级
   iptables 规则从上到下匹配，白名单应放在DROP规则之前。
3. 备份配置

   sudo iptables-save > ~/iptables_backup.txt  # iptables备份
   sudo firewall-cmd --runtime-to-permanent    # firewalld临时转永久

4. 端口状态验证
   使用 netstat -tuln 或 ss -tuln 检查端口监听状态，
   用 telnet [IP] [端口] 或 nmap -p [端口] [IP] 测试连通性。

端口屏蔽是Linux安全的基础防线：

• iptables 适合精细控制，兼容性强。
• firewalld 适合动态管理，操作简便。
• 生产环境中,建议结合 fail2ban（自动屏蔽恶意IP）和 SELinux（强制访问控制）提升安全性，定期审计规则，确保最小权限原则。

引用说明

• iptables 官方文档：https://netfilter.org/documentation/
• firewalld 配置指南：https://firewalld.org/documentation/
• Linux 内核网络栈：https://www.kernel.org/doc/html/latest/networking/ 基于 Linux 5.4+ 内核及常见发行版实践验证，适用于主流云服务器环境。*