Linux 防火墙配置实战指南

# 1. 允许本地回环 (重要!)
iptables -A INPUT -i lo -j ACCEPT

# 2. 允许已建立的连接（必须！否则断连）
iptables -A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT

# 3. 允许 SSH / HTTP / HTTPS
iptables -A INPUT -p tcp --dport 22 -j ACCEPT
iptables -A INPUT -p tcp --dport 80 -j ACCEPT
iptables -A INPUT -p tcp --dport 443 -j ACCEPT

# 4. 允许 ICMP ping
iptables -A INPUT -p icmp --icmp-type 8 -j ACCEPT

# 5. 默认拒绝所有其他入站（放在最末尾！）
iptables -P INPUT DROP

# 方案一（推荐）：容器绑定本地而非 0.0.0.0
docker run -p 127.0.0.1:3306:3306 mysql

# 或在 docker-compose.yml 中：
# ports:
#   - "127.0.0.1:3306:3306"

# 方案二：禁止 Docker 直接操作 iptables
# 编辑 /etc/docker/daemon.json：
# { "iptables": false }
# 重启 Docker：systemctl restart docker

# 验证 Docker 暴露了哪些端口（NAT 表）
iptables -t nat -L DOCKER -n

# 1. 安装 ipset
apt install ipset -y

# 2. 创建名为 blocklist 的集合（hash:net 支持 CIDR 段）
ipset create blocklist hash:net

# 3. 下载国家 IP 段（以俄罗斯 RU 为例，可替换为 cn / us / ir 等）
wget -O ru.zone http://www.ipdeny.com/ipblocks/data/countries/ru.zone

# 4. 批量导入
for i in $(cat ru.zone); do ipset add blocklist $i; done

# 5. 关联 iptables（插入到链头，优先执行）
iptables -I INPUT -m set --match-set blocklist src -j DROP

# 6. 持久化 ipset（开机恢复）
ipset save > /etc/ipset.rules
# 在 /etc/rc.local 中添加：ipset restore < /etc/ipset.rules

# 1. 安装 Fail2ban
apt install fail2ban -y

# 2. 创建本地配置文件（避免更新时覆盖）
cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local

# 3. 自定义 SSH 防护参数（编辑 jail.local）
# [sshd]
# enabled  = true
# port     = YOUR_SSH_PORT   ← 改成你的 SSH 端口
# bantime  = 86400           ← 封禁 24 小时
# findtime = 600             ← 10 分钟内
# maxretry = 3               ← 失败 3 次即封

# 4. 启动并设置开机自启
systemctl enable fail2ban && systemctl start fail2ban

# 5. 查看封禁状态
fail2ban-client status sshd

# 限制单个 IP 地址的并发连接数（防 CC 攻击）
iptables -A INPUT -p tcp --syn --dport 80 -m connlimit --connlimit-above 20 -j DROP

# 限制 SSH 新连接速率（防暴力破解）
iptables -A INPUT -p tcp --dport 22 -m state --state NEW -m recent --set
iptables -A INPUT -p tcp --dport 22 -m state --state NEW -m recent --update --seconds 60 --hitcount 4 -j DROP

# 编辑 /etc/sysctl.conf，添加以下参数后执行 sysctl -p 生效
net.ipv4.tcp_syncookies = 1
net.ipv4.tcp_max_syn_backlog = 2048
net.ipv4.tcp_synack_retries = 2
net.ipv4.conf.all.rp_filter = 1

# 查看当前 nftables 规则
nft list ruleset

# 基础规则集（等同于 UFW 默认配置）
nft add table inet filter
nft add chain inet filter input { type filter hook input priority 0 \; policy drop \; }
nft add chain inet filter output { type filter hook output priority 0 \; policy accept \; }
nft add rule inet filter input ct state established,related accept
nft add rule inet filter input iif lo accept
nft add rule inet filter input tcp dport 22 accept

# 持久化
nft list ruleset > /etc/nftables.conf && systemctl enable nftables

💡 如果是全新部署，建议直接使用 nftables。UFW 目前仍基于 iptables，与 nftables 同时使用可能有冲突，建议二选一。

# 查看所有监听端口（推荐）
sudo ss -tuln

# 查看端口及对应进程
sudo ss -tulnp

参数：-t（TCP）-u（UDP）-l（监听）-n（数字格式）-p（显示进程）