在Ubuntu服务器上配置iptables规则集并实施默认拒绝策略，意味着首先丢弃所有传入和传出的流量，然后仅允许明确授权的连接，这是构建安全网络环境的核心步骤。许多管理员在初次设置时容易陷入规则顺序错误或未保存配置的陷阱，导致服务器意外被锁定或重启后规则丢失。下面将详细说明如何从零开始创建一套有效的iptables规则，确保你的Ubuntu系统只开放必要的端口，同时自动持久化配置。
理解iptables默认链与策略设置
iptables包含三个默认链：INPUT（处理进入系统的数据包）、OUTPUT（处理从系统发出的数据包）、FORWARD（处理转发数据包）。在默认拒绝策略中，我们通常将INPUT和OUTPUT链的默认策略设置为DROP，这意味着任何未被明确允许的流量都会被丢弃。但需注意，将OUTPUT链设为DROP可能影响系统正常功能，因此更常见的做法是仅对INPUT链实施严格限制，而OUTPUT链保持ACCEPT，同时通过规则细化控制。首先，查看当前规则：
sudo iptables -L -v -n
如果已有规则，建议先备份并清空：
sudo iptables-save > ~/iptables.backup sudo iptables -F sudo iptables -X
然后设置默认策略：
sudo iptables -P INPUT DROP sudo iptables -P FORWARD DROP sudo iptables -P OUTPUT ACCEPT
这样，系统将默认拒绝所有传入流量，但允许所有传出流量，为后续添加例外规则奠定基础。
允许本地回环与已建立连接
在添加具体服务规则前，必须确保本地回环接口和已建立的连接不受阻碍，否则系统内部通信和现有会话会中断。添加以下规则：
sudo iptables -A INPUT -i lo -j ACCEPT sudo iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
第一条规则允许所有本地回环流量，这对于许多本地服务（如数据库或缓存）至关重要。第二条规则使用连接跟踪模块，允许所有已建立或相关的传入连接，确保对外请求的响应能正常接收。这是避免锁定自己的关键步骤。
开放必要的服务端口
根据服务器角色，逐步开放所需端口。例如，对于Web服务器，需开放SSH（22端口）、HTTP（80端口）和HTTPS（443端口）。添加规则时，建议使用-A INPUT -p <协议> --dport <端口> -j ACCEPT格式，并尽可能限制来源IP以提高安全性。例如，允许SSH连接（如果仅从特定IP访问）：
sudo iptables -A INPUT -p tcp --dport 22 -s 192.168.1.100 -j ACCEPT
对于公开Web服务：
sudo iptables -A INPUT -p tcp --dport 80 -j ACCEPT sudo iptables -A INPUT -p tcp --dport 443 -j ACCEPT
如果服务器运行其他服务（如DNS、邮件），需相应添加规则。始终遵循最小权限原则，只开放绝对必要的端口。
防御常见攻击与速率限制
iptables不仅能过滤端口，还能实现基础攻击防护。例如，限制SSH连接尝试频率以防止暴力破解：
sudo iptables -A INPUT -p tcp --dport 22 -m conntrack --ctstate NEW -m recent --set sudo iptables -A INPUT -p tcp --dport 22 -m conntrack --ctstate NEW -m recent --update --seconds 60 --hitcount 3 -j DROP
此规则记录新SSH连接，如果一分钟内超过3次尝试，则丢弃后续请求。此外，可防范SYN洪水攻击：
sudo iptables -A INPUT -p tcp --syn -m limit --limit 10/second -j ACCEPT
这些规则能显著提升服务器韧性，但需根据实际流量调整参数。
保存与持久化iptables规则
Ubuntu中，iptables规则默认重启后丢失，必须持久化。传统方法是使用iptables-save和iptables-restore。首先保存当前规则：
sudo iptables-save | sudo tee /etc/iptables/rules.v4
然后安装持久化工具（如果未安装）：
sudo apt-get update sudo apt-get install iptables-persistent
安装过程中会提示保存当前规则。之后，规则将自动在启动时加载。对于IPv6规则（如果有），需同时配置/etc/iptables/rules.v6。验证持久化：重启后运行sudo iptables -L检查规则是否存在。
规则优化与调试技巧
配置完成后，需定期审查规则。使用sudo iptables -L -v -n查看流量计数，识别未使用规则。规则顺序至关重要：iptables按从上到下匹配，因此应将常用规则（如SSH、Web）放在前面，提升效率。添加注释（通过-m comment --comment "描述"）便于管理：
sudo iptables -A INPUT -p tcp --dport 22 -j ACCEPT -m comment --comment "允许SSH"
如果遇到连接问题，启用日志记录调试：
sudo iptables -A INPUT -p tcp --dport 22 -j LOG --log-prefix "SSH尝试: "
日志将出现在/var/log/kern.log中，帮助诊断规则错误。
结合其他工具增强安全性
虽然iptables是强大基础，但现代Ubuntu系统常配合其他工具如UFW（Uncomplicated Firewall）或nftables（iptables后继者）使用。UFW底层仍调用iptables，但提供更简单接口：
sudo ufw default deny incoming sudo ufw allow 22/tcp sudo ufw enable
然而，对于复杂规则集，直接使用iptables仍提供更精细控制。未来趋势是迁移到nftables，它提供统一框架和更好性能，但在过渡期，掌握iptables至关重要。无论使用何种工具，核心原则不变：默认拒绝，最小授权，持续监控。
总结：构建动态安全策略
Ubuntu上iptables默认拒绝策略不是一次性设置，而需持续维护。建议每季度审查规则，移除不再需要的条目，并根据服务变化调整。结合入侵检测系统（如Fail2ban）自动响应攻击，并将iptables日志纳入集中监控。记住，防火墙仅是深度防御的一层，必须与系统更新、强认证和应用程序安全结合，才能构建真正健壮的Ubuntu服务器环境。通过本文的详细步骤，你应该能部署一套坚实、可维护的iptables规则集，为你的数据和服务提供可靠屏障。
