Ubuntu iptables怎么配置？Ubuntu防火墙设置教程

Ubuntu系统下iptables配置的核心在于构建“默认拒绝、按需放行”的安全策略，并确保规则持久化生效。正确配置iptables不仅是开放端口，更是建立一套有序的访问控制体系，防止规则丢失与服务中断是运维工作的重中之重。 许多用户在配置后重启系统导致规则清空，或因规则顺序错误导致策略失效，这本质上是对iptables“从上至下匹配”机制理解不深，以下将从基础原理、实操配置、持久化方案及云环境实战四个维度展开论述。

核心机制与策略规划

iptables工作在Linux内核空间，通过Netfilter框架实现数据包过滤，理解其“表”与“链”的关系是专业配置的前提，对于绝大多数Ubuntu服务器运维场景，主要关注filter表（负责过滤）中的INPUT（进入）、OUTPUT（外出）和FORWARD（转发）链。

专业建议： 在编写规则前，必须制定清晰的访问策略。默认策略应设置为DROP（拒绝），显式允许必要的流量。 这种“白名单”机制比“默认允许”更安全。

在操作前，务必检查现有规则,避免冲突：

sudo iptables -L -n -v

参数-n以数字形式显示IP和端口，-v显示详细信息,这是排查故障的基础手段。

基础规则配置实战

配置iptables需遵循“先放行SSH，再改默认策略”的铁律,防止远程连接中断。

开放关键服务端口
首先放行SSH（22端口）和Web服务（80/443端口）,这是服务器对外提供服务的基础。

sudo iptables -A INPUT -p tcp --dport 22 -j ACCEPT
sudo iptables -A INPUT -p tcp --dport 80 -j ACCEPT
sudo iptables -A INPUT -p tcp --dport 443 -j ACCEPT

这里使用了-A参数追加规则。注意： 如果需要限制SSH来源IP，例如仅允许管理网段访问，应使用-s参数，如-s 192.168.1.0/24,这能显著降低暴力破解风险。

设置本地回环与已建立连接
允许本地回环接口通信是许多内部应用正常工作的前提，同时利用conntrack模块放行已建立的连接,可大幅提升效率。

sudo iptables -A INPUT -i lo -j ACCEPT
sudo iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

这一步至关重要， 它确保了服务器主动发起的出站请求（如yum更新、API调用）的回包能顺利进入。

设定默认拒绝策略
在确认放行规则无误后,修改默认策略为DROP。

sudo iptables -P INPUT DROP
sudo iptables -P FORWARD DROP

除明确允许的端口外,所有入站流量将被内核静默丢弃。

进阶防护与规则管理

基础配置仅解决了连通性问题，专业的运维需应对CC攻击、端口扫描等威胁。

利用ICMP策略
盲目禁用ICMP（Ping）并不专业，这会导致Path MTU发现机制失效，影响网络性能。推荐的做法是限制ICMP速率， 既保留了网络诊断能力,又防止了ICMP洪水攻击。

sudo iptables -A INPUT -p icmp --icmp-type 8 -m limit --limit 1/s --limit-burst 10 -j ACCEPT

此规则限制Ping请求每秒不超过1个,突发上限为10个。

规则的插入与删除
iptables规则匹配遵循“首遇即停”原则。如果需要优先匹配某条规则，不能使用追加，必须使用插入。
拒绝某个恶意IP：

sudo iptables -I INPUT 1 -s 1.2.3.4 -j DROP

这里的数字1表示将该规则插入到第一条，确保其优先于后续规则执行，删除规则时，需先查看行号iptables -L INPUT --line-numbers，再使用iptables -D INPUT [行号]精准删除。

规则持久化解决方案

Ubuntu系统默认不保存iptables规则，重启后规则丢失是最大的安全隐患。必须实现规则的持久化存储。

推荐方案：使用iptables-persistent
这是Ubuntu官方推荐的方案，比手动编写rc.local脚本更规范。

sudo apt update
sudo apt install iptables-persistent

安装过程中会提示保存当前规则，后续修改规则后,需手动保存：

sudo netfilter-persistent save
sudo netfilter-persistent reload

独家经验： 在酷番云的实际运维案例中，曾遇到客户在酷番云云服务器上配置了复杂的NAT转发规则，但因未做持久化，系统内核升级重启后服务全面瘫痪，通过部署iptables-persistent并结合酷番云提供的“自动快照备份”功能，在每次重大规则变更前创建系统快照，即便规则配置错误导致网络中断，也能在几分钟内通过控制台回滚快照恢复服务。这种“配置持久化+云快照兜底”的双重保险机制，是企业级运维的标准动作。

酷番云环境下的特殊考量

在酷番云等公有云环境中使用iptables，需注意“双重防火墙”问题。云平台控制台的安全组与服务器内部的iptables同时生效。
根据酷番云的技术支持经验，建议遵循“最小开放原则”：

1. 安全组：作为第一道防线，仅开放业务必需的公网端口（如80, 443, 22）。
2. iptables：作为第二道防线，进行精细化控制（如限制22端口仅允许特定IP访问，或针对特定应用端口做访问控制）。

曾有一酷番云用户反馈网站无法访问，排查发现安全组开放了80端口，但iptables因误操作设置为DROP，这提示我们，在云环境下排查网络故障，需同时检查安全组入站规则与服务器内部iptables策略， 两者缺一不可。

相关问答

问：iptables规则配置正确，但服务仍然无法访问，可能是什么原因？
答：在排除服务本身故障后，首先检查云平台的安全组是否放行，在酷番云控制台检查安全组入站规则是否包含对应端口，检查iptables规则顺序，是否存在优先级更高的拒绝规则，确认是否开启了ufw（Ubuntu默认防火墙工具），ufw与iptables混用可能导致冲突，建议禁用ufw而直接使用iptables进行精细化管理。

问：如何在不重启服务器的情况下清空所有iptables规则并恢复默认？
答：可以使用刷新命令sudo iptables -F（清除所有链的规则）和sudo iptables -X（删除自定义链）。注意： 如果默认策略设置为DROP，执行-F后可能导致SSH连接立即断开且无法重连。正确的做法是先将默认策略改回ACCEPT，再执行清空操作。

如果您在Ubuntu iptables配置过程中遇到更复杂的NAT转发或流量监控问题，欢迎在评论区留言讨论,我们将提供针对性的技术解答。