在现代服务器和云环境中，Linux防火墙扮演着一线防线的角色。通过对进入和离开系统的数据包进行智能筛选、控制和记录，防火墙能够阻止大多数常见的入侵尝试，降低暴露面与被利用的风险。本篇文章聚焦于“Linux防火墙到底能阻止哪些攻击”这一核心问题，结合iptables、nftables等实现原理，系统梳理从常见入侵到防护策略的完整路径。
1. Linux防火墙的核心能力与工作原理
1.1 状态检测与包过滤
在<状态检测的基础上，Linux防火墙能够区分新建、已建立和相关的连接，从而实现更为精细的访问控制。状态跟踪允许将“已建立连接”的数据包放行，即使对某些端口没有持续的显式规则，也能确保正常服务的流量不被误拦。
通过包过滤，系统可以对来源IP、目的端口、协议信息等进行精确筛选，阻断异常或恶意的数据包。网卡层面与内核网过滤框架的结合使得策略生效效率高、代价低，适合在高并发环境中维持稳定性。
# 允许已建立连接的输入，阻止新连接的异常入口
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
上面的示例体现了iptables在“已建立连接的放行”方面的典型用法。对高并发服务，结合速率限制和连接数限制等策略，可以进一步抵御轻量级的探测和短时洪泛攻击。
1.2 NAT与端口转发
除了基础的包过滤，NAT（网络地址转换）功能是Linux防火墙的重要能力之一。通过SNAT、DNAT等规则，内部私有网络可以对外暴露单点入口，同时隐藏内部拓扑结构，降低目标暴露面。
端口转发和负载均衡常常依赖DNAT与MASQUERADE等技术，使外部请求正确路由到后端服务。端口映射和源地址替换在云服务、容器编排和多租户环境中尤为重要。
# 通过DNAT将外部80端口的请求转发到内部服务器
iptables -t nat -A PREROUTING -p tcp --dport 80 -j DNAT --to-destination 192.168.1.10:80
# 让外部返回流量使用正确的源地址
iptables -t nat -A POSTROUTING -j MASQUERADE
在上述策略中，NAT机制帮助实现对内部网络结构的抽象暴露，同时通过端口映射来控制对特定服务的访问路径，提升安全性与可管理性。
1.3 日志与可观测性
日志记录是评估防护效果、追踪异常行为的关键手段。通过在关键节点添加LOG目标、结合系统日志服务（如rsyslog、systemd-journald），可以获取攻击尝试、源IP、时间戳等信息，便于后续取证与事件关联。
良好的可观测性不仅依赖规则，还需要合理的日志策略与监控仪表盘。结合日志轮转、告警阈值、聚合分析，可以在攻击初期及时发现异常模式并响应。
# 将非法来源的连接日志化，便于后续审计
iptables -A INPUT -m limit --limit 5/min -j LOG --log-prefix "FW-ALERT: "
通过将日志记录与告警结合，管理员可以在无需持续人工巡检的情况下，对异常模式保持警觉，快速定位潜在攻击源及阶段。
2. 常见入侵场景与防火墙的对策
2.1 扫描与探测阶段的拦截
入侵者在正式入侵前往往会进行端口扫描与服务探测，试图找出易受攻击的端口和未打补丁的服务。阻断扫描的关键在于对异常连接的速率限制、源IP限制以及对无用端口的关闭。
通过连接速率限制、并发连接数限制等策略，可以有效降低被动探测的成功率，提升防护的主动性。
# 对SSH端口的短时高并发进行限制，防止慢速暴力探测
iptables -A INPUT -p tcp --dport 22 -m limit --limit 5/min -j ACCEPT
iptables -A INPUT -p tcp --dport 22 -j DROP
此外，可以结合hashlimit、connlimit等模块，针对单个源IP或单个目标端口设定阈值，降低单点暴击风险。对入侵检测系统（IDS）或日志分析工具进行联动，也能在探测到异常流量时自动触发策略变更。
2.2 暴力破解与爆破攻击的防护
对暴力破解、弱口令的攻击，除了及时打补丁、禁用弱口令服务外，防火墙层面的访问控制也很重要。结合主机安全工具如fail2ban，可以在发现失败的认证尝试后动态封禁来源IP，降低攻击窗口。
同时，应将对外暴露的管理端口进行仅限信任网段的访问控制，并尽量使用公钥认证替代密码认证，提升安全性。
# Fail2ban 简单示例（SSH 服务）
[sshd]
enabled = true
port = ssh
logpath = /var/log/auth.log
maxretry = 3
bantime = 600
通过将失败事件与自动封禁策略结合，防火墙与主机安全工具的协同工作成为对抗暴力破解的重要手段。这种组合在云主机、VPS及企业服务器中尤其常见。
2.3 针对DDoS与流量洪泛的防护
面对分布式拒绝服务攻击（DDoS）与大流量洪泛，单一防火墙策略往往不足以应对极端场景。此时需要综合流量整形、速率控制与内核参数优化来减缓攻击。
SYN Cookies是对抗SYN洪泛的经典内核层面保护机制，可以在握手阶段即停止资源耗尽的建立过程。为确保防护生效，应结合tcp_syncookies参数进行配置。
# 启用SYN Cookies，防止SYN洪泛
sysctl -w net.ipv4.tcp_syncookies=1
echo 1 > /proc/sys/net/ipv4/tcp_syncookies
在网络边缘，可以部署速率限制与连接限制策略来缓解洪泛压力，例如对同一源IP的SYN包设定限制，或对特定端口的新建连接进行阈值管理。
# 针对新建SYN连接的速率限制
iptables -A INPUT -p tcp --syn -m hashlimit --hashlimit-name synflood --hashlimit 10/second --hashlimit-burst 20 -j ACCEPT
iptables -A INPUT -p tcp --syn -j DROP
通过上述综合手段，Linux防火墙能够在一定程度上缓解DDoS攻击带来的冲击，同时与上层DDoS防护服务、流量清洗设备协同工作，形成多层次保护。
3. Linux防火墙的防护策略与实践
3.1 规则分层与默认策略
一个成熟的防火墙策略通常采用分层规则与默认拒绝的原则。先实现对核心端口和信任来源的放行，再对其他流量进行严格筛选，最后对不可接受的流量进行拒绝。默认拒绝策略是最小化攻击面的关键。
在实际部署中，应该将系统盘面分成“边界入口、服务端口、管理端口、管理网段”等不同区域，逐步建立白名单与基线规则，以降低被误拦和服务中断的风险。
# 设置默认策略
iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT ACCEPT# 允许本机环回和已建立的连接
iptables -A INPUT -i lo -j ACCEPT
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT# 仅允许信任网段访问SSH
iptables -A INPUT -p tcp -s 192.0.2.0/24 --dport 22 -j ACCEPT
默认策略的设定直接决定了系统在异常流量下的生存能力，良好的基线能显著降低攻击成功率并减少误报。
3.2 冗余部署与高可用的防火墙实践
在高可用场景中，单点防护容易成为瓶颈，因此需要实现冗余部署和跨主机的一致性策略。通过负载均衡前置、集中化的日志与策略分发，以及对关键服务的两地备份，可以在一个节点故障时快速切换，维持业务连续性。
同时，应结合容器网络和虚拟化平台的安全网络策略，确保新扩展的实例也具备同等的访问控制与审计能力。
# 结合两台防火墙实现冗余的简化示例
# Server A
iptables -P INPUT DROP
# 规则集1
# Server B 同步执行相同的规则集合
在设计冗余时，需关注策略同步、时钟一致性、日志集中化等要素，确保故障切换时不会产生规则不一致导致的新风险。
3.3 监控、日志与合规性审计
持续的监控和日志审计是防火墙策略有效性的关键。通过集中日志采集、告警联动，可以在异常模式出现时自动通知运维人员并触发扩容、规则扩展或阻断策略。
合规性方面，应确保日志留存达到规定周期、日志不可篡改性得到保障，以及对重要操作有审计追溯。这些做法有助于在事后进行取证和法务对接。
# 基础日志配置示例（简化）
iptables -A INPUT -m limit --limit 5/min -j LOG --log-prefix "FW-ALERT: "
# 将日志发送到本地日志系统
通过系统化的监控与日志策略，威胁情报的落地能力、以及对攻击事件的快速可观测性将显著提升，进一步增强防护效果。
