准备阶段：目标设定与环境搭建
监控目标与策略
本文以 Ubuntu 上的 iptables 入侵检测与拦截 为核心，聚焦从监控到拦截的完整流程，帮助你建立可观测、可执行的防护链路。通过明确的监控目标，可以将注意力聚焦在潜在的端口扫描、暴力破解、异常连接等关键场景，提升早期告警的命中率。
在设计策略时，应将检测阈值、告警等级与拦截动作绑定到具体业务场景，例如 SSH、Web 服务端口等，同时兼顾系统性能，避免误拦导致的业务中断。
第一步还包括对日志的价值认知，统一日志来源、统一日志格式，确保后续分析和取证可追溯，避免信息碎片化带来的排查难度。
环境搭建与依赖
在 Ubuntu 系统上，最核心的组件是 iptables 与对日志的支持，搭配 iptables-persistent 保存规则，达到重启生效的可持续性；另外，日志收集与告警工具（如 rsyslog、syslog-ng、fail2ban）可以提高告警的自动化程度。
确保内核相关模块就绪是前提，conntrack、nf_conntrack 等模块需要可用，以支持连接跟踪与复杂规则的高效执行。
为了可观测性与复现性，建议准备一个测试环境，从简单的规则起步，逐步扩展到更复杂的检测场景，并确保能随时间回放日志以验证规则效果。
监控到拦截的完整流程
监控与日志收集
监控阶段的核心是通过 iptables 规则对入站与出站流量进行筛选、标记与记录，优先记录可疑行为的上下文信息，包括源地址、目标端口、时间戳等。
同时结合系统日志与应用日志，实现跨源信息整合，构建统一的告警入口，确保同一事件在不同模块可以互相印证。
为了可追溯性，建议开启日志轮转与归档策略，确保历史数据在需要时可回放；在 deny/drop 行为发生时，日志中应保留对照字段以便取证。
规则设计与拦截策略
在规则设计阶段，尽量采用分层拦截：先日志记录、再阈值触发告警，最后执行拦截动作（如 DROP/REJECT）。这样可以确保误报较低、可回滚性好。
针对常见威胁，建议综合使用多模块组合，例如 state、conntrack、recent、hashlimit，实现对重复连接、异常速率与扫描行为的检测。
对敏感端口（如 22/3389 等）应重点监控，为关键入口设置更严格的阈值和更快的拦截策略，以提升防护效果而不过度影响正常业务。
拦截执行与告警
当检测到可疑行为时，拦截动作应具备可观测性与可控性，优先以日志记录+温和拦截为主，逐步升级到直接丢弃，以避免对合法流量造成干扰。
常见做法是：在满足阈值后产生告警，将源 IP 通过 iptables 规则触发 DROP/REJECT，并通过日志前缀标注告警等级，方便后续分析与取证。
以下是一组可直接落地的示例规则，展示了从检测到拦截的完整路径；在生产环境中应结合实际流量特征逐步调整。
# 1) 针对 SSH 的暴力破解检测：记录来源、触发阈值后拦截
iptables -A INPUT -p tcp --dport 22 -m conntrack --ctstate NEW -m recent --set --name SSHBRUTE --rsource
iptables -A INPUT -p tcp --dport 22 -m conntrack --ctstate NEW -m recent --update --seconds 60 --hitcount 5 --name SSHBRUTE --rsource -j DROP
# 同时记录日志
iptables -A INPUT -p tcp --dport 22 -m conntrack --ctstate NEW -m recent --update --seconds 60 --hitcount 5 --name SSHBRUTE --rsource -j LOG --log-prefix "SSHBRUTE: "# 2) SYN Flood 初步防护：对高并发 SYN 进行速率限制
iptables -A INPUT -p tcp --syn -m hashlimit --hashlimit 1/second --hashlimit-burst 5 --hashlimit-mode srcip -j ACCEPT
iptables -A INPUT -p tcp --syn -j DROP# 3) 将可疑流量日志化并持久化
iptables -A INPUT -m limit --limit 5/min -j LOG --log-prefix "Suspicious: "
实战案例：常用规则模板
暴力破解检测规则
现实中暴力破解往往以短时间内多次登录失败为特征，利用 iptables 的 recent/limit/hashlimit 模块可实现精准拦截，同时保留日志以便事后分析。
请根据实际服务端口对规则进行定制，例如 SSH、RDP、Web 认证接口等场景的不同端口。规则设计应避免对正常运维操作造成影响，并在上线前通过测试环境验证。
下面给出一个可直接应用的模板，涵盖检测、日志与拦截的完整路径：
# SSH 暴力破解检测示例
iptables -A INPUT -p tcp --dport 22 -m conntrack --ctstate NEW -m recent --set --name SSHBRUTE --rsource
iptables -A INPUT -p tcp --dport 22 -m conntrack --ctstate NEW -m recent --update --seconds 60 --hitcount 5 --name SSHBRUTE --rsource -j DROP
iptables -A INPUT -p tcp --dport 22 -m conntrack --ctstate NEW -m recent --update --seconds 60 --hitcount 5 --name SSHBRUTE --rsource -j LOG --log-prefix "SSHBRUTE: "
在实际场景中，可以将上述规则扩展到多端口，或结合 fail2ban 等工具实现更丰富的拦截策略；务必保留日志以便后续排查。
端口探测与DoS检测规则
端口探测通常表现为大量针对单一目标端口的连接探测，DoS 攻击则表现为超出系统承载能力的并发连接。通过 iptables 的 connlimit、hashlimit、recent 等模块，可以在不影响正常用户的前提下抑制异常流量。
设计时应遵循“先告警、后拦截、再评估”的原则，确保误拦率尽可能低，同时对攻击流量实现快速降速或阻断。
以下是典型的端口探测与 DoS 防护规则示例：
# 对同源 IP 的并发连接进行限制
iptables -A INPUT -p tcp --syn -m connlimit --connlimit-above 100 -j DROP
# 对早期探测的连接进行速率限制并记录
iptables -A INPUT -p tcp -m multiport --dports 80,443 -m hashlimit --hashlimit 1000/min --hashlimit-burst 200 --hashlimit-mode srcip -j LOG --log-prefix "DoS-Probe: "
流量异常与性能调优规则
除了直接攻击特征，系统性能异常（如突发高流量、异常带宽占用）也应纳入检测范围，以实时性告警和渐进式拦截相结合的思路实现。
为保持可维护性，建议对规则进行分组、按端口或服务分区管理，并在变更后进行回归测试，确保对业务无负面影响。
下面提供一个针对 Web 服务的简单性能保护模板：
# 针对高并发的 GET/POST 请求进行速率限制
iptables -A INPUT -p tcp --dport 80 -m hashlimit --hashlimit 200/second --hashlimit-burst 400 --hashlimit-mode srcip -j ACCEPT
iptables -A INPUT -p tcp --dport 80 -m hashlimit --hashlimit 200/second --hashlimit-burst 400 --hashlimit-mode srcip -j LOG --log-prefix "Web-Rate-Limit: "
实战与运维：落地与持续改进
规则的落地与持久化
为确保规则在系统重启后仍然有效，使用 iptables-persistent 或等价机制保存规则，并将其配置变更文档化，方便团队协作。
同时，建议建立一个变更管理流程，对规则的新增、修改、删除进行版本控制，以避免误操作导致的业务中断。
在部署阶段，应配合监控告警系统，建立快速响应流程，包括拦截策略的回滚、告警的分级升级以及取证数据的保留策略。
测试、验证与取证
上线前应通过模拟攻击、端到端测试、压力测试等方式验证规则有效性，确保不会对正常业务造成干扰。
发生安全事件时，取证数据包括日志、对应的 iptables 规则快照、以及系统状态信息，应完整保留以供安全分析和事后审计。
最终，通过对历史日志的回放与规则效果对比，可以持续优化检测阈值与拦截策略，提升长期的防护能力。
