Linux利用iptables與firewalld實現(xiàn)端口訪問控制的實戰(zhàn)指南
更新時間：2026年02月06日 09:03:46 作者：學(xué)亮編程手記
在Linux服務(wù)器安全體系中,端口訪問控制是基礎(chǔ)而關(guān)鍵的一環(huán),無論是保護數(shù)據(jù)庫、Web服務(wù)還是API接口,正確的黑白名單配置都能有效防止未授權(quán)訪問,本文將系統(tǒng)性地講解端口訪問控制的原理、實踐和排錯方法,需要的朋友可以參考下
前言
在Linux服務(wù)器安全體系中，端口訪問控制是基礎(chǔ)而關(guān)鍵的一環(huán)。無論是保護數(shù)據(jù)庫、Web服務(wù)還是API接口，正確的黑白名單配置都能有效防止未授權(quán)訪問。然而，從簡單的iptables命令到復(fù)雜的Docker環(huán)境集成，許多管理員在實踐中會遇到各種“坑”。本文將系統(tǒng)性地講解端口訪問控制的原理、實踐和排錯方法。
一、核心概念：理解防火墻的工作方式
1.1 iptables三層過濾體系
iptables工作在Linux內(nèi)核網(wǎng)絡(luò)棧，通過表和鏈的層級結(jié)構(gòu)過濾數(shù)據(jù)包：
數(shù)據(jù)包 → 原始表(PREROUTING) → 過濾表(FORWARD) → 網(wǎng)絡(luò)地址轉(zhuǎn)換表(POSTROUTING)
↓
過濾表(INPUT/OUTPUT)
對于端口訪問控制，我們主要操作過濾表的INPUT鏈，它決定了哪些外部連接可以訪問本機服務(wù)。
1.2 規(guī)則的匹配原則
這是最容易被誤解的部分，請務(wù)必記?。?/p>
iptables規(guī)則從上到下順序匹配，一旦匹配成功就立即執(zhí)行對應(yīng)動作，后續(xù)規(guī)則不再檢查。
這就像公司的門禁系統(tǒng)：如果第一條規(guī)則說“拒絕所有人進入”，那么后面再說“允許張三進入”就毫無意義了。
二、iptables實戰(zhàn)：從入門到精通
2.1 基礎(chǔ)命令速查
# 查看規(guī)則（顯示編號便于管理） iptables -L INPUT -n --line-numbers # 追加規(guī)則到鏈末尾 iptables -A INPUT -p tcp --dport 22 -j ACCEPT # 插入規(guī)則到鏈開頭 iptables -I INPUT -p tcp --dport 22 -j ACCEPT # 插入到指定位置（如第3條規(guī)則前） iptables -I INPUT 3 -p tcp --dport 22 -j ACCEPT # 刪除指定規(guī)則 iptables -D INPUT 3 # 清空所有規(guī)則 iptables -F INPUT
2.2 典型白名單配置
讓我們通過一個MySQL防護的完整案例來理解：
#!/bin/bash
# mysql_whitelist.sh - MySQL端口安全加固腳本
PORT=3306
WHITELIST=("192.168.1.100" "192.168.1.101" "10.0.0.50")
echo "正在配置MySQL端口($PORT)白名單..."
# 步驟1：備份當前規(guī)則
iptables-save > /etc/iptables.backup.$(date +%Y%m%d_%H%M%S)
# 步驟2：清除舊規(guī)則（避免重復(fù)）
iptables -D INPUT -p tcp --dport $PORT -j DROP 2>/dev/null || true
for ip in "${WHITELIST[@]}"; do
iptables -D INPUT -p tcp --dport $PORT -s $ip -j ACCEPT 2>/dev/null || true
done
# 步驟3：按正確順序添加規(guī)則
# 3.1 允許本地回環(huán)（必須）
iptables -I INPUT -i lo -j ACCEPT
# 3.2 允許已建立的連接（防止斷開當前會話）
iptables -I INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
# 3.3 添加白名單IP
for ip in "${WHITELIST[@]}"; do
iptables -A INPUT -p tcp --dport $PORT -s $ip -j ACCEPT
echo " ? 允許IP: $ip"
done
# 3.4 拒絕其他所有訪問（這條規(guī)則必須最后添加！）
iptables -A INPUT -p tcp --dport $PORT -j DROP
echo " ? 拒絕其他所有IP訪問"
# 步驟4：保存配置
iptables-save > /etc/sysconfig/iptables
# 步驟5：驗證配置
echo -e "\n驗證規(guī)則順序："
iptables -L INPUT -n --line-numbers | grep -E "(dpt:$PORT|policy)"
關(guān)鍵點：注意ACCEPT規(guī)則在DROP規(guī)則之前，這是保證白名單生效的前提。
2.3 經(jīng)典錯誤案例解析
場景：管理員想先禁止所有訪問，再開放特定IP，結(jié)果白名單失效。
# ? 錯誤做法（常見陷阱） iptables -A INPUT -p tcp --dport 3306 -j DROP # 規(guī)則1：拒絕所有 iptables -A INPUT -p tcp --dport 3306 -s 192.168.1.100 -j ACCEPT # 規(guī)則2：允許特定IP（永遠不會執(zhí)行?。? # ? 正確做法 iptables -A INPUT -p tcp --dport 3306 -s 192.168.1.100 -j ACCEPT # 規(guī)則1：允許特定IP iptables -A INPUT -p tcp --dport 3306 -j DROP # 規(guī)則2：拒絕其他
診斷技巧：
# 查看規(guī)則匹配計數(shù)器，如果ACCEPT規(guī)則計數(shù)為0，說明從未匹配 iptables -L INPUT -n -v
三、Docker環(huán)境的特殊挑戰(zhàn)
當容器技術(shù)遇上防火墻，情況變得復(fù)雜。Docker默認會修改iptables規(guī)則，這可能導(dǎo)致你的配置失效。
3.1 Docker的網(wǎng)絡(luò)管理機制
Docker啟動時默認會：
- 創(chuàng)建
DOCKER、DOCKER-USER、DOCKER-ISOLATION等自定義鏈 - 在
FORWARD鏈中插入跳轉(zhuǎn)規(guī)則 - 為端口映射創(chuàng)建NAT規(guī)則
# 查看Docker創(chuàng)建的鏈 iptables -L -n | grep -i docker # 典型輸出示例： # Chain DOCKER (1 references) # Chain DOCKER-ISOLATION (1 references) # Chain DOCKER-USER (1 references)
3.2 方案一：使用DOCKER-USER鏈（推薦）
Docker 19.03+ 版本引入了DOCKER-USER鏈，專門用于用戶自定義規(guī)則，且不會被Docker覆蓋。
#!/bin/bash
# docker_whitelist.sh - Docker容器端口白名單
CONTAINER_PORT=80
HOST_PORT=8080
WHITELIST=("192.168.1.100" "192.168.1.0/24")
echo "配置Docker容器端口白名單..."
echo "容器端口: $CONTAINER_PORT, 主機端口: $HOST_PORT"
# 清空DOCKER-USER鏈（注意：不影響其他Docker規(guī)則）
iptables -F DOCKER-USER
# 添加基礎(chǔ)規(guī)則
iptables -A DOCKER-USER -i lo -j ACCEPT
iptables -A DOCKER-USER -m state --state ESTABLISHED,RELATED -j ACCEPT
# 添加白名單
for ip in "${WHITELIST[@]}"; do
iptables -A DOCKER-USER -p tcp --dport $HOST_PORT -s $ip -j ACCEPT
echo " ? 允許 $ip 訪問端口 $HOST_PORT"
done
# 拒絕其他所有訪問
iptables -A DOCKER-USER -p tcp --dport $HOST_PORT -j DROP
echo " ? 拒絕其他IP訪問"
# 查看結(jié)果
echo -e "\n當前DOCKER-USER鏈規(guī)則："
iptables -L DOCKER-USER -n --line-numbers
3.3 方案二：直接管理INPUT鏈（無DOCKER鏈時）
如果系統(tǒng)沒有DOCKER鏈（可能因為Docker配置或版本原因），可以像管理普通服務(wù)一樣操作：
# 檢查是否有DOCKER鏈
if ! iptables -L -n | grep -q "Chain DOCKER"; then
echo "系統(tǒng)無DOCKER鏈，直接配置INPUT鏈"
# 允許特定IP訪問Docker映射的端口
iptables -A INPUT -p tcp --dport 8080 -s 192.168.1.100 -j ACCEPT
iptables -A INPUT -p tcp --dport 8080 -s 192.168.1.0/24 -j ACCEPT
# 拒絕其他
iptables -A INPUT -p tcp --dport 8080 -j DROP
fi
3.4 方案三：Docker原生限制（簡單場景）
對于簡單的IP限制，可以在運行容器時直接指定：
# 只允許特定IP訪問 docker run -d \ --name myapp \ -p 192.168.1.100:8080:80 \ nginx # 允許多個IP訪問 docker run -d \ --name myapp \ -p 192.168.1.100:8080:80 \ -p 192.168.1.101:8080:80 \ nginx
四、firewalld：現(xiàn)代化的防火墻管理
對于需要動態(tài)管理規(guī)則的環(huán)境，firewalld提供了更友好的接口。
4.1 firewalld核心概念
- Zone（區(qū)域）：預(yù)定義的信任級別（public、home、internal等）
- Rich Rule（富規(guī)則）：功能強大的規(guī)則語法
- 運行時配置：支持動態(tài)修改，無需重啟服務(wù)
4.2 常用命令示例
# 查看當前配置 firewall-cmd --get-default-zone firewall-cmd --list-all # 添加富規(guī)則（永久生效） firewall-cmd --permanent --add-rich-rule=' rule family="ipv4" source address="192.168.1.100" port port="3306" protocol="tcp" accept' # 允許多個IP firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="192.168.1.0/24" port port="22" protocol="tcp" accept' # 添加黑名單 firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="203.0.113.10" reject' # 重新加載（不中斷現(xiàn)有連接） firewall-cmd --reload
4.3 與Docker集成
# 方法1：直接允許端口訪問 firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="192.168.1.100" port port="8080" protocol="tcp" accept' # 方法2：使用端口轉(zhuǎn)發(fā)（更靈活） firewall-cmd --permanent --add-rich-rule=' rule family="ipv4" source address="192.168.1.100" forward-port port="8080" protocol="tcp" to-port="80"'
五、高級優(yōu)化技巧
5.1 使用ipset管理大量IP
當白名單包含成百上千個IP時，使用ipset可以顯著提升性能：
# 創(chuàng)建ipset集合
ipset create mysql_whitelist hash:ip
# 批量添加IP
for ip in {1..100}; do
ipset add mysql_whitelist 192.168.1.$ip
done
# 添加網(wǎng)段
ipset add mysql_whitelist 10.0.0.0/24
# 在iptables中使用
iptables -A INPUT -p tcp --dport 3306 -m set --match-set mysql_whitelist src -j ACCEPT
# 保存配置
ipset save > /etc/ipset.conf
5.2 自動化管理腳本
#!/bin/bash
# firewall_manager.sh - 智能防火墻管理
set -euo pipefail
readonly LOG_FILE="/var/log/firewall_manager.log"
readonly BACKUP_DIR="/etc/iptables/backup"
log() {
echo "[$(date '+%Y-%m-%d %H:%M:%S')] $*" | tee -a "$LOG_FILE"
}
backup_rules() {
mkdir -p "$BACKUP_DIR"
local backup_file="$BACKUP_DIR/iptables_$(date +%Y%m%d_%H%M%S).rules"
iptables-save > "$backup_file"
log "規(guī)則已備份到: $backup_file"
}
whitelist_port() {
local port=$1
shift
local ips=("$@")
log "開始配置端口 $port 白名單"
backup_rules
# 清理舊規(guī)則
iptables -D INPUT -p tcp --dport "$port" -j DROP 2>/dev/null || true
# 添加新規(guī)則
for ip in "${ips[@]}"; do
if ! iptables -C INPUT -p tcp --dport "$port" -s "$ip" -j ACCEPT 2>/dev/null; then
iptables -A INPUT -p tcp --dport "$port" -s "$ip" -j ACCEPT
log "添加白名單: $ip -> 端口 $port"
fi
done
# 添加拒絕規(guī)則（確保在最后）
iptables -A INPUT -p tcp --dport "$port" -j DROP
# 保存
iptables-save > /etc/sysconfig/iptables
log "配置完成"
}
# 使用示例
whitelist_port 3306 "192.168.1.100" "192.168.1.101" "10.0.0.50"
六、故障排查與恢復(fù)
6.1 診斷工具箱
# 1. 檢查規(guī)則順序和匹配計數(shù) iptables -L INPUT -n -v --line-numbers # 2. 實時監(jiān)控規(guī)則匹配 watch -n 1 'iptables -L INPUT -n -v | grep :3306' # 3. 測試連接并觀察計數(shù)變化 timeout 5 nc -zv 服務(wù)器IP 3306 && echo "連接成功" || echo "連接失敗" # 4. 查看詳細日志（如果有LOG規(guī)則） iptables -A INPUT -p tcp --dport 3306 -j LOG --log-prefix "[IPTABLES-DENY] " tail -f /var/log/messages | grep IPTABLES-DENY # 5. 檢查Docker相關(guān)規(guī)則 iptables -t nat -L -n iptables -L FORWARD -n -v
6.2 緊急恢復(fù)方案
如果配置錯誤導(dǎo)致自己被鎖定，可以通過以下方式恢復(fù)：
方案A：通過服務(wù)器控制臺
# 清空所有規(guī)則（謹慎使用） iptables -F iptables -P INPUT ACCEPT # 或者只恢復(fù)SSH訪問 iptables -I INPUT -p tcp --dport 22 -j ACCEPT
方案B：使用預(yù)置的恢復(fù)腳本
#!/bin/bash # emergency_recovery.sh - 防火墻緊急恢復(fù) # 創(chuàng)建恢復(fù)標記 touch /tmp/firewall_recovery_mode # 設(shè)置寬松策略 iptables -P INPUT ACCEPT iptables -P FORWARD ACCEPT iptables -P OUTPUT ACCEPT # 清空所有規(guī)則 iptables -F iptables -t nat -F iptables -t mangle -F # 允許基本服務(wù) iptables -A INPUT -i lo -j ACCEPT iptables -A INPUT -p tcp --dport 22 -j ACCEPT iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT echo "緊急恢復(fù)完成，請重新配置防火墻"
6.3 常見問題解答
Q1：為什么添加了ACCEPT規(guī)則還是無法訪問？
A：檢查規(guī)則順序，確保ACCEPT在DROP之前；檢查默認策略；確認端口監(jiān)聽正常。
Q2：Docker容器規(guī)則重啟后丟失？
A：Docker重啟會重建規(guī)則，將自定義規(guī)則放在DOCKER-USER鏈中。
Q3：如何讓iptables規(guī)則永久生效？
# CentOS/RHEL iptables-save > /etc/sysconfig/iptables systemctl enable iptables # Debian/Ubuntu iptables-save > /etc/iptables/rules.v4 apt-get install iptables-persistent
Q4：如何管理大量端口和IP？
A：使用配置管理工具（Ansible/SaltStack）或編寫管理腳本，避免手動操作。
七、最佳實踐總結(jié)
7.1 安全原則
- 最小權(quán)限原則：只開放必要的端口給必要的IP
- 默認拒絕策略：設(shè)置
iptables -P INPUT DROP，顯式允許 - 分層防護：結(jié)合網(wǎng)絡(luò)層、主機層、應(yīng)用層防護
- 變更管理：任何規(guī)則變更前備份、測試、記錄
7.2 操作規(guī)范
- 使用版本控制：將iptables規(guī)則納入Git管理
- 注釋說明：為復(fù)雜規(guī)則添加注釋
iptables -A INPUT -p tcp --dport 3306 -s 10.0.0.50 -j ACCEPT -m comment --comment "允許DBA服務(wù)器訪問MySQL"
- 定期審計：每月檢查一次規(guī)則，清理無效條目
- 監(jiān)控告警：設(shè)置規(guī)則變更告警和異常訪問告警
7.3 配置示例模板
#!/bin/bash
# production_firewall_template.sh - 生產(chǎn)環(huán)境防火墻模板
set -e
# 備份
backup_rules() {
iptables-save > /etc/iptables/backup/prod_$(date +%s).rules
}
# 初始化
init_firewall() {
# 設(shè)置默認策略
iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT ACCEPT
# 基礎(chǔ)規(guī)則
iptables -A INPUT -i lo -j ACCEPT
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
# ICMP（根據(jù)需要）
iptables -A INPUT -p icmp --icmp-type echo-request -j ACCEPT
}
# 服務(wù)規(guī)則
setup_services() {
# SSH（限制IP段）
iptables -A INPUT -p tcp --dport 22 -s 192.168.1.0/24 -j ACCEPT
iptables -A INPUT -p tcp --dport 22 -s 10.0.0.0/8 -j ACCEPT
# Web服務(wù)
iptables -A INPUT -p tcp --dport 80 -j ACCEPT
iptables -A INPUT -p tcp --dport 443 -j ACCEPT
# 數(shù)據(jù)庫（嚴格白名單）
local db_ips=("192.168.1.100" "192.168.1.101")
for ip in "${db_ips[@]}"; do
iptables -A INPUT -p tcp --dport 3306 -s "$ip" -j ACCEPT
done
iptables -A INPUT -p tcp --dport 3306 -j DROP
}
# 執(zhí)行
backup_rules
init_firewall
setup_services
# 保存
iptables-save > /etc/sysconfig/iptables
echo "防火墻配置完成"
結(jié)語
端口訪問控制是Linux系統(tǒng)安全的基石，但也是一把雙刃劍。配置得當，它能有效阻擋攻擊；配置失誤，可能導(dǎo)致服務(wù)中斷。掌握iptables和firewalld的核心原理，遵循最佳實踐，結(jié)合自動化工具，你就能構(gòu)建既安全又可靠的防火墻體系。
記?。?strong>測試、備份、漸進式變更是防火墻管理的三大黃金法則。每次變更前問自己三個問題：
- 這個規(guī)則真的必要嗎？
- 會不會阻斷正常業(yè)務(wù)？
- 如果出問題，如何快速恢復(fù)？
安全之路，始于足下。從正確配置第一個端口白名單開始，逐步構(gòu)建完善的防御體系。
以上就是Linux端口訪問控制iptables與firewalld的實戰(zhàn)指南的詳細內(nèi)容，更多關(guān)于Linux端口訪問控制iptables與firewalld的資料請關(guān)注腳本之家其它相關(guān)文章！
相關(guān)文章
ufw（簡單防火墻Uncomplicated FireWall）真正地簡化了 iptables，它從出現(xiàn)的這幾年，已經(jīng)成為 Ubuntu 和 Debian 等系統(tǒng)上的默認防火墻。這篇文章主要介紹了Linux 防火墻 ufw 簡介,需要的朋友可以參考下2020-04-04
這篇文章主要介紹了Linux命令之ifconfig使用,具有很好的參考價值,希望對大家有所幫助,如有錯誤或未考慮完全的地方,望不吝賜教2024-08-08
很多云VPS系統(tǒng)盤，也就是根目錄（系統(tǒng)盤）都是10個G，寶塔安裝完整環(huán)境基本5個G沒有了，用了不到幾個月，隨著日志文件等亂七八糟的東西增加，面板就提示根目錄低于1個G，隨后mysql就莫名其妙掛掉，這里就為大家分享一下將面板安裝到別的目錄的方法2018-05-05
Linux Bash調(diào)用Python和Java代碼過程
本文介紹了如何在Linux和Windows系統(tǒng)中使用Bash調(diào)用Python和Java程序,并詳細解釋了Bash腳本中的命令與路徑判斷、調(diào)用Python和Java代碼以及重點語法解析2025-11-11
一條命令讓你明白shell中read命令的常用參數(shù)
今天小編就為大家分享一篇關(guān)于一條命令讓你明白shell中read命令的常用參數(shù)，小編覺得內(nèi)容挺不錯的，現(xiàn)在分享給大家，具有很好的參考價值，需要的朋友一起跟隨小編來看看吧2019-03-03
這篇文章主要為大家詳細介紹了Linux下ZooKeeper分布式集群安裝教程，具有一定的參考價值，感興趣的小伙伴們可以參考一下2017-12-12
Apache POI是由Apache公司提佛那個的Java編寫的免費開源的跨平臺Java API，提供對Microsoft Office格式文件的讀和寫的功能。本文向大家介紹Apache POI的基本使用，感興趣的朋友一起看看吧2021-11-11
這篇文章主要為大家詳細介紹了CentOS 6.5配置本地Yum源教程，具有一定的參考價值，感興趣的小伙伴們可以參考一下2017-04-04
本篇文章給大家通過詳細步驟介紹了Centos7軟raid5的掛載的方法，有需要的讀者們學(xué)習(xí)下吧。2018-02-02
軟連接（SymbolicLink）在Linux/Unix系統(tǒng)中類似于Windows的快捷方式,用于創(chuàng)建一個指向另一個文件或目錄的引用,它可以便捷訪問、版本管理、節(jié)省空間和跨文件系統(tǒng),使用`ln -s`命令創(chuàng)建軟連接,刪除時使用`rm`命令,注意路徑和權(quán)限2026-01-01