基础知识与防火墙的核心原理
在服务器安防领域，Linux防火墙是第一道前线防护，负责在网络达到应用层前对流量进行筛选与阻断。本文以 temperature=0.6 的视角，聚焦如何用Linux防火墙阻止恶意攻击：从基础配置到实战拦截，逐步构建可实战落地的防护体系。
状态感知与默认策略是设计防火墙策略的核心概念，前者让规则具备对连接状态的认知，后者决定未命中规则时的处理走向。理解这两点可以避免盲目放行或错误拦截造成业务中断。
主流的实现路径包括iptables（传统、广泛兼容）、nftables（新一代、统一框架）、以及包装在操作系统中的ufw、firewalld等工具。不同场景下的选型应结合运维习惯、环境复杂度与后续扩展性。
从零开始：使用iptables/nftables搭建基本防火墙规则
选择工具与工作流
iptables是多年来的行业标准，具有广泛的社区资源；nftables作为其后续方案，提供更简化的语法与更高效的内核数据结构。选择时要权衡迁移成本与未来维护性。测试环境与回滚机制是日常工作流的重要组成部分，避免在生产环境直接进行大幅度变动。
一个稳定的起步是建立一个安全的默认策略组合：先允许必要的本地与已建立连接，再逐步开放服务端口，最后给予明确的拒绝路径。下面给出一个简化的起步示例，便于理解规则的叠加过程。逐步演练、逐步落地是关键。
以下代码演示了基于 iptables 的基本规则集，以及基于 nftables 的等效示例，供对照学习使用。请在受控环境中演练后再应用到生产系统。合规与日志记录同等重要。
# iptables 基本示例
# 1) 默认策略
iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT ACCEPT# 2) 允许本地回环
iptables -A INPUT -i lo -j ACCEPT# 3) 已建立连接的流量允许通过
iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT# 4) SSH 端口的简单限速处理，防止暴力破解
iptables -A INPUT -p tcp --dport 22 -m conntrack --ctstate NEW -m limit --limit 5/min -j ACCEPT# 5) 其他流量默认拒绝
iptables -A INPUT -j DROP
# nftables 基本示例
#!/usr/sbin/nft -f
flush rulesettable inet filter {chain input {type filter hook input priority 0; policy drop;iifname "lo" acceptct state established, related accepttcp dport 22 limit rate 5/min accept}
}
设定默认策略与基本过滤规则
默认策略应做到尽可能拒绝未知流量，并对必要的内网与管理端口提供明确的开放入口。通过分层规则，核心目标是让合法服务最小化暴露面，同时对异常流量进行快速截断。
在生产环境中，通常还会引入对外暴露端口的逐步放行策略、内部管理网段的白名单、以及对特定协议的专门处理。逐步扩展与回滚点可以在规则 tempfile 或快照中实现，降低误伤风险。
如果选择使用 ufw 或 firewalld 作为简化封装，请确保底层规则依然可审计、可追溯。并且在切换工具时，务必做完整的互相转换测试与日志对齐。
实战拦截：阻断恶意请求与暴力破解
基于速率限制的防护
对高频请求场景，速率限制是最直观的第一道防线。通过对同一来源在短时间内的连接尝试进行限制，可以显著降低暴力破解与 DDoS 异常对服务的冲击。合理的限速参数需要结合业务特性与实际流量进行调优。
在 SSH、Web 服务等易被暴力攻击的端口，可以结合 conntrack 状态和 hashlimit、limit 模块实现多层保护，确保正常用户连接不被误伤。
下面给出一个基于 iptables 的简化限速示例，用于阻断暴力破解行为，同时尽量不影响正常连接。生产前务必本地测试并观察日志。
# 使用 hashlimit 控制 SSH 暴力攻击
iptables -A INPUT -p tcp --dport 22 -m conntrack --ctstate NEW -m hashlimit \--hashlimit 5/min --hashlimit-burst 10 --hashlimit-mode srcip -j ACCEPT
iptables -A INPUT -p tcp --dport 22 -j DROP
阻断可疑来源与地理屏蔽的注意点
将可疑来源 IP 直接阻断可以快速应对已知威胁，但需注意误伤与维护成本。动态黑名单、白名单管理、以及对地理来源的策略需要与日志分析相结合，避免对正常用户造成影响。
结合 ipset 构建动态黑名单，是常见的做法之一。通过定期清理与人工复核，可以保持名单的时效性与准确性。风控与业务可用性之间的平衡需要持续的监测与迭代。
下面展示一个简单的 ipset 与 iptables 的整合示例，用于拦截已知恶意 IP。
# 使用 ipset 构建黑名单并拦截
ipset create bad_ips hash:ip hashsize 4096
ipset add bad_ips 203.0.113.45
iptables -I INPUT -m set --match-set bad_ips src -j DROP
fail2ban 与日志驱动的联动
fail2ban 可以对登录失败事件进行监控，自动对违规 IP 下发封禁规则，提升拦截协同效能。将 fail2ban 与 iptables/jump 结合，可以实现对暴力破解的快速响应与自动恢复。
典型的 jail 配置会指定触发条件、封禁时间与执行动作。通过对 sshd、web 登录等服务的日志进行过滤，可以在有攻击迹象时自动阻断攻击源。
# /etc/fail2ban/jail.local（示例）
[sshd]
enabled = true
port = ssh
filter = sshd
logpath = /var/log/auth.log
maxretry = 3
bantime = 3600
action = iptables[name=SSH, port=22]
日志与监控：做到异常行为早发现
开启详细日志
防火墙规则的可观测性直接决定了快速定位与应对的效率。通过将关键事件（如拒绝、丢弃、重新打包等）写入系统日志，可以为后续分析提供证据链。日志规范化与集中化收集是实现稳定运维的基础。
对工作流而言，确保记录的字段包含来源 IP、目标端口、协议、动作类型（ACCEPT/DROP）以及时间戳，有助于态势感知与溯源。
结合系统自带日志与防火墙事件，可以实现快速排错与告警触发。及时回放与对比分析是诊断的关键环节。
# 查看最近的防火墙相关日志（示例：通过 syslog 记录的 DROP/ACCEPT 事件）
grep -i 'DROP' /var/log/syslog | tail -n 100
grep -i 'ACCEPT' /var/log/syslog | tail -n 100
利用日志分析与告警
为了监控异常行为，可以将日志送入集中日志系统，如 ELK、Prometheus+Grafana 或云端日志服务。通过设定阈值告警，可以在攻击发生时第一时间通知运维人员。
在高可用场景中，持续的日志分析还能帮助发现新的攻击模式与未识别的端口暴露点，促使防护策略迭代。
下列命令展示了如何通过系统级日志查看与监控防火墙事件的基本思路，结合持续滚动的日志查看有助于排错与修复。
# 实时查看防火墙相关日志（示例）
journalctl -f | grep -i 'DROP'
journalctl -f | grep -i 'ACCEPT'
进阶：结合 fail2ban、systemd、与云原生环境的整合
Fail2ban jail 配置示例
在复杂环境中，fail2ban 可以对多类服务进行统一化的拦截策略。结合 systemd 的单位管理，可以实现规则在服务重启后自动生效、在容器环境中也能保持一致性。
# /etc/fail2ban/jail.local（扩展示例）
[sshd]
enabled = true
port = ssh
filter = sshd
logpath = /var/log/auth.log
maxretry = 3
bantime = 3600
action = iptables[name=SSH, port=22]
与systemd和容器的兼容
对于使用 systemd 的系统，可以将防火墙规则在启动阶段就加载，确保在系统启动后立即进入保护态。对于容器化场景，建议在容器边缘节点或主机层叠加防护策略，避免容器内服务被直接暴露。
通过将规则保存为可复用的配置，并在 systemd 单元中定期应用，可以实现持续性保护；在容器编排中，结合 CNI、Service Mesh 的访问控制也能增强防护深度。
# 保存并在启动时应用
sudo iptables-save > /etc/iptables/rules.v4
sudo systemctl enable netfilter-persistent # Debian/Ubuntu 常用方案
常见误区与排错思路
常见误区
过度放行容易露出攻击面；缺乏日志记录会让态势难以追溯； 单点防护容易在新威胁出现时失效，需实现多层次保护。
忽略默认策略的回滚，一旦规则冲突，可能导致 SSH 远程无法连接；未对变更进行测试与回滚会增加系统不可用时间。
要点在于建立分层、可追溯、可回滚的规则体系，并将之与日志、告警、以及运维流程绑定。
排错思路
遇到网络连通性问题时，可以按以下思路排错：1) 确认默认策略与规则顺序是否正确，2) 使用 conntrack 查看连接状态，3) 检查日志是否记录了被拒原因，4) 逐步禁用特定规则以定位冲突点，5) 在测试环境中迭代新规则后再部署到生产。
常用诊断命令包括查看当前规则集、监控连接状态、以及检查系统日志。通过对比期望行为与实际输出，可以快速定位错误。
最终目标是建立可观测、可回滚、可扩展的防护策略，确保在面对持续变化的威胁态势时，系统依然具备稳健的防护能力。
