iptables是Linux防火墙核心工具，通过表（filter、nat、mangle）和链（INPUT、OUTPUT、FORWARD）管理流量；常用命令包括查看（-L -n -v）、清空（-F）、设置默认策略（-P）和添加规则（-A）；典型规则允许回环、已建立连接及HTTP/HTTPS流量，并可阻止特定IP；规则需保存至配置文件以防重启丢失，使用iptables-save和iptables-restore进行持久化。
Linux中的iptables是管理防火墙规则的核心工具，通过配置规则可以控制进出系统的网络流量。掌握iptables的基本结构和常用命令，能有效提升系统安全性。
理解iptables的基本结构
iptables基于“表（tables）”和“链（chains）”组织规则。常用表包括：
- filter：默认表，用于包过滤，包含INPUT、OUTPUT、FORWARD链
- nat：用于网络地址转换，如端口转发
- mangle：用于修改数据包的特定字段（较少使用）
常见链的作用：
- INPUT：处理进入本机的数据包
- OUTPUT：处理从本机发出的数据包
- FORWARD：处理经过本机转发的数据包
常用iptables操作命令
添加、删除、查看规则是日常管理的基本操作。
- 查看当前规则：iptables -L -n -v（-n表示不解析主机名，-v显示详细信息）
- 清空规则：iptables -F（慎用，会清除所有规则）
- 设置默认策略：iptables -P INPUT DROP（默认拒绝所有入站）
- 添加允许规则：iptables -A INPUT -p tcp --dport 22 -j ACCEPT（允许SSH）
- 删除规则：iptables -D INPUT -p tcp --dport 80 -j ACCEPT
配置典型防火墙规则示例
实际使用中，通常需要允许特定服务并拒绝其他流量。
- 允许本地回环接口通信：iptables -A INPUT -i lo -j ACCEPT
- 允许已建立的连接返回流量：iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
- 开放HTTP/HTTPS端口：iptables -A INPUT -p tcp --dport 80 -j ACCEPT 和 iptables -A INPUT -p tcp --dport 443 -j ACCEPT
- 阻止特定IP访问：iptables -A INPUT -s 192.168.1.100 -j DROP
保存和恢复iptables规则
重启后规则会丢失，需手动保存。
- Ubuntu/Debian：iptables-save > /etc/iptables/rules.v4（需安装iptables-persistent）
- CentOS/RHEL：service iptables save 或 /sbin/iptables-save > /etc/sysconfig/iptables
- 恢复规则：iptables-restore
基本上就这些。合理配置iptables规则，能有效保护Linux服务器。建议先在测试环境练习，避免误操作导致网络中断。
