Linux 防火墙完全指南：iptables + nftables + UFW + firewalld | 2026 最新实践

1
# Ubuntu/Debian
2
sudo apt install iptables
3

4
# CentOS/RHEL
5
sudo dnf install iptables
6

7
# 检查版本
8
iptables --version
9
# iptables v1.8.9 (nf_tables)  ← 注意：现代系统默认使用 nf_tables 后端
10

11
# 查看是否使用 nftables 后端
12
iptables --version | grep -o 'nf_tables\|legacy'

1
# 查看所有规则（filter 表）
2
sudo iptables -L
3
# 或 sudo iptables -L -t filter（-t filter 可省略，默认就是 filter）
4

5
# 带行号、详细信息查看（推荐）
6
sudo iptables -L -n -v --line-numbers
7
# -L    列出规则
8
# -n    不解析 IP 和端口（更快）
9
# -v    显示详细信息（包计数、字节数）
10
# --line-numbers  显示行号（删除时需要）
11

12
# 查看指定链
13
sudo iptables -L INPUT -n -v --line-numbers
14

15
# 查看其他表
16
sudo iptables -t nat -L -n -v        # NAT 表
17
sudo iptables -t mangle -L -n -v     # mangle 表
18
sudo iptables -t raw -L -n -v        # raw 表
19

20
# 查看规则计数（排查哪条规则在匹配）
21
sudo iptables -L INPUT -n -v
22
# pkts  bytes  target   prot  opt  in  out  source    destination
23
#  120   7200  ACCEPT   tcp   --   *   *    0.0.0.0/0  0.0.0.0/0  tcp dpt:22
24
#    0      0  DROP     tcp   --   *   *    0.0.0.0/0  0.0.0.0/0  tcp dpt:3306

1
# 追加规则（添加到链的末尾）
2
sudo iptables -A INPUT -p tcp --dport 80 -j ACCEPT
3

4
# 插入规则（添加到指定位置，默认位置 1）
5
sudo iptables -I INPUT 1 -p tcp --dport 443 -j ACCEPT
6
# 这会把规则插到第 1 行，原来的规则向下移动
7

8
# 替换规则
9
sudo iptables -R INPUT 3 -p tcp --dport 80 -j ACCEPT
10
# 替换第 3 行的规则
11

12
# 删除指定行号的规则
13
sudo iptables -D INPUT 3
14

15
# 删除匹配的规则（不需要行号）
16
sudo iptables -D INPUT -p tcp --dport 80 -j ACCEPT
17

18
# 清空所有规则（危险！会断开所有连接）
19
sudo iptables -F
20
# 清空指定链
21
sudo iptables -F INPUT
22
# 清空指定表
23
sudo iptables -t nat -F
24

25
# 清空计数器
26
sudo iptables -Z
27
sudo iptables -Z INPUT 3   # 只清空第 3 行的计数器
28

29
# 设置默认策略
30
sudo iptables -P INPUT DROP      # 默认拒绝所有入站
31
sudo iptables -P FORWARD DROP    # 默认拒绝所有转发
32
sudo iptables -P OUTPUT ACCEPT   # 默认允许所有出站

1
# 协议匹配
2
iptables -A INPUT -p tcp ...      # TCP 协议
3
iptables -A INPUT -p udp ...      # UDP 协议
4
iptables -A INPUT -p icmp ...     # ICMP（ping）
5
iptables -A INPUT -p all ...      # 所有协议（默认）
6

7
# 端口匹配（需要 -p tcp 或 -p udp）
8
iptables -A INPUT -p tcp --dport 80 -j ACCEPT       # 目标端口 80
9
iptables -A INPUT -p tcp --sport 1024 -j DROP        # 源端口 1024
10
iptables -A INPUT -p tcp --dport 80:443 -j ACCEPT    # 端口范围 80-443
11
iptables -A INPUT -p tcp -m multiport --dports 80,443,8080 -j ACCEPT  # 多端口
12

13
# IP 地址匹配
14
iptables -A INPUT -s 192.168.1.100 -j DROP           # 源 IP
15
iptables -A INPUT -s 192.168.1.0/24 -j ACCEPT        # 源 IP 段
16
iptables -A INPUT -d 10.0.0.1 -j DROP                # 目标 IP
17
iptables -A INPUT -s 192.168.1.100,192.168.1.200 -j DROP  # 多个 IP
18

19
# 网卡接口匹配
20
iptables -A INPUT -i eth0 -j ACCEPT                  # 入口网卡
21
iptables -A OUTPUT -o eth0 -j ACCEPT                 # 出口网卡
22
iptables -A INPUT -i lo -j ACCEPT                    # 本地回环（重要！）
23

24
# 状态匹配（最常用，依赖 conntrack 模块）
25
iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
26
# 或旧语法：
27
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
28
# ESTABLISHED  已建立连接的后续包
29
# RELATED      相关连接（如 FTP 数据通道、ICMP 错误）
30
# NEW          新连接的第一个包
31
# INVALID      无效数据包（无法识别的连接状态）

1
# --- TCP 标志匹配 ---
2
# 只允许 SYN 包（新连接）
3
iptables -A INPUT -p tcp --tcp-flags SYN,RST,ACK,FIN SYN -j ACCEPT
4

5
# 阻止伪造的 Xmas 包
6
iptables -A INPUT -p tcp --tcp-flags ALL ALL -j DROP
7

8
# 阻止 Null 包
9
iptables -A INPUT -p tcp --tcp-flags ALL NONE -j DROP
10

11
# --- 速率限制 ---
12
# 限制 SSH 连接：每分钟最多 5 次，突发 10 次
13
iptables -A INPUT -p tcp --dport 22 -m limit --limit 5/min --limit-burst 10 -j ACCEPT
14
iptables -A INPUT -p tcp --dport 22 -j DROP
15

16
# 限制 ping：每秒 1 次，突发 5 次
17
iptables -A INPUT -p icmp -m limit --limit 1/sec --limit-burst 5 -j ACCEPT
18
iptables -A INPUT -p icmp -j DROP
19

20
# --- connlimit 连接数限制 ---
21
# 限制每个 IP 对 SSH 的并发连接数最多 3 个
22
iptables -A INPUT -p tcp --dport 22 -m connlimit --connlimit-above 3 -j DROP
23

24
# 限制每个 IP 对 Web 的并发连接数最多 50 个
25
iptables -A INPUT -p tcp --dport 80 -m connlimit --connlimit-above 50 -j DROP
26

27
# --- recent 模块（防暴力破解） ---
28
# 60 秒内访问 22 端口超过 5 次的 IP 加入黑名单
29
iptables -A INPUT -p tcp --dport 22 -m recent --name SSH --set
30
iptables -A INPUT -p tcp --dport 22 -m recent --name SSH --update --seconds 60 --hitcount 5 -j DROP
31
iptables -A INPUT -p tcp --dport 22 -j ACCEPT
32

33
# --- 字符串匹配 ---
34
# 阻止包含特定字符串的数据包
35
iptables -A INPUT -p tcp -m string --string "GET /admin" --algo bm -j DROP
36

37
# --- MAC 地址匹配 ---
38
iptables -A INPUT -m mac --mac-source 00:11:22:33:44:55 -j DROP
39

40
# --- TTL 匹配 ---
41
# 阻止 TTL 为 1 的数据包（防止路由追踪）
42
iptables -A INPUT -m ttl --ttl-eq 1 -j DROP
43

44
# --- owner 匹配（仅 OUTPUT 链） ---
45
# 阻止 UID 1000 的用户访问 80 端口
46
iptables -A OUTPUT -p tcp --dport 80 -m owner --uid-owner 1000 -j DROP
47

48
# --- 时间匹配 ---
49
# 工作时间（9:00-18:00）允许访问 SSH
50
iptables -A INPUT -p tcp --dport 22 -m time --timestart 09:00 --timestop 18:00 --weekdays Mon,Tue,Wed,Thu,Fri -j ACCEPT

1
# --- 基本动作 ---
2
-j ACCEPT      # 允许数据包通过
3
-j DROP        # 丢弃数据包（不响应，发送方会超时重试）
4
-j REJECT      # 拒绝并回复错误（发送方立即知道被拒绝）
5
-j REJECT --reject-with tcp-reset  # 用 TCP RST 拒绝（更礼貌，不像 DROP 那样让发送方等待）
6
-j LOG         # 记录日志（不终止规则匹配，继续匹配下一条）
7

8
# --- 日志记录 ---
9
# 记录被丢弃的包
10
iptables -A INPUT -j LOG --log-prefix "IPTABLES-DROP: " --log-level 4
11
# 限制日志频率（防止日志洪水）
12
iptables -A INPUT -m limit --limit 5/min -j LOG --log-prefix "IPTABLES-DROP: "
13

14
# --- 跳转到自定义链 ---
15
-j MY_CHAIN    # 跳转到自定义链 MY_CHAIN
16
# 自定义链中未匹配的包会返回原链继续匹配
17

18
# --- NAT 动作（nat 表专用）---
19
-j SNAT --to-source 1.2.3.4         # 源地址转换
20
-j DNAT --to-destination 10.0.0.2   # 目标地址转换
21
-j MASQUERADE                       # 动态源地址转换（适合动态 IP）
22
-j REDIRECT --to-ports 8080         # 本地端口重定向
23

24
# --- Mark 标记（mangle 表）---
25
-j MARK --set-mark 1                # 给数据包打标记

1
# --- 场景：把外部 80 端口转发到内网 10.0.0.2:8080 ---
2

3
# 步骤 1：在 PREROUTING 链做 DNAT
4
sudo iptables -t nat -A PREROUTING -p tcp --dport 80 -j DNAT --to-destination 10.0.0.2:8080
5

6
# 步骤 2：在 FORWARD 链允许转发
7
sudo iptables -A FORWARD -p tcp -d 10.0.0.2 --dport 8080 -j ACCEPT
8

9
# 步骤 3：开启 IP 转发（如果还没开）
10
sudo sysctl -w net.ipv4.ip_forward=1
11
# 永久生效：
12
echo 'net.ipv4.ip_forward = 1' | sudo tee -a /etc/sysctl.d/99-ipforward.conf
13
sudo sysctl -p
14

15
# 步骤 4（如果内网机器回包需要走本机）：做 SNAT
16
sudo iptables -t nat -A POSTROUTING -p tcp -d 10.0.0.2 --dport 8080 -j MASQUERADE

1
# --- 场景：本地端口重定向 ---
2
# 把 80 端口重定向到 8080（不需要 IP 转发）
3
sudo iptables -t nat -A PREROUTING -p tcp --dport 80 -j REDIRECT --to-ports 8080
4

5
# 本机内部访问也重定向（OUTPUT 链）
6
sudo iptables -t nat -A OUTPUT -p tcp --dport 80 -j REDIRECT --to-ports 8080

1
# --- 场景：根据来源 IP 转发到不同后端 ---
2
# 192.168.1.0/24 → 10.0.0.2:8080
3
sudo iptables -t nat -A PREROUTING -p tcp --dport 80 -s 192.168.1.0/24 -j DNAT --to-destination 10.0.0.2:8080
4

5
# 其他来源 → 10.0.0.3:8080
6
sudo iptables -t nat -A PREROUTING -p tcp --dport 80 -j DNAT --to-destination 10.0.0.3:8080

1
# --- 场景：内网通过本机访问外网 ---
2
# MASQUERADE：适合动态 IP（如拨号上网、DHCP）
3
sudo iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -o eth0 -j MASQUERADE
4

5
# SNAT：适合固定 IP（性能比 MASQUERADE 稍好）
6
sudo iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -o eth0 -j SNAT --to-source 1.2.3.4
7

8
# SNAT 到端口范围
9
sudo iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -o eth0 -j SNAT --to-source 1.2.3.4:20000-30000

1
# 查看 NAT 表所有规则
2
sudo iptables -t nat -L -n -v --line-numbers
3

4
# 查看 PREROUTING 链（DNAT）
5
sudo iptables -t nat -L PREROUTING -n -v
6

7
# 查看 POSTROUTING 链（SNAT/MASQUERADE）
8
sudo iptables -t nat -L POSTROUTING -n -v
9

10
# 查看连接跟踪表
11
sudo cat /proc/net/nf_conntrack | head -20
12

13
# 查看连接跟踪统计
14
sudo cat /proc/sys/net/netfilter/nf_conntrack_count    # 当前连接数
15
sudo cat /proc/sys/net/netfilter/nf_conntrack_max       # 最大连接数
16

17
# 调整连接跟踪表大小（高并发服务器需要调大）
18
echo 'net.netfilter.nf_conntrack_max = 131072' | sudo tee -a /etc/sysctl.d/99-conntrack.conf
19
sudo sysctl -p

1
# 安装
2
sudo apt install ufw
3

4
# 启用（会自动设置默认策略）
5
sudo ufw enable
6
# 默认策略：入站拒绝，出站允许
7

8
# 查看状态
9
sudo ufw status
10
sudo ufw status verbose    # 详细信息
11
sudo ufw status numbered   # 带行号
12

13
# 禁用
14
sudo ufw disable
15

16
# 重置（清除所有规则，恢复默认）
17
sudo ufw reset

1
# --- 端口管理 ---
2

3
# 允许 SSH
4
sudo ufw allow 22/tcp
5
sudo ufw allow ssh        # 按服务名（/etc/services 中定义）
6

7
# 允许 HTTP/HTTPS
8
sudo ufw allow 80/tcp
9
sudo ufw allow 443/tcp
10

11
# 允许端口范围
12
sudo ufw allow 3000:3100/tcp
13

14
# 允许指定 IP 访问
15
sudo ufw allow from 192.168.1.100
16

17
# 允许指定 IP 访问指定端口
18
sudo ufw allow from 192.168.1.100 to any port 22
19

20
# 允许指定 IP 段访问指定端口
21
sudo ufw allow from 192.168.1.0/24 to any port 3306
22

23
# 允许指定网卡
24
sudo ufw allow in on eth0 to any port 80
25

26
# --- 拒绝规则 ---
27

28
# 拒绝端口
29
sudo ufw deny 3306/tcp
30

31
# 拒绝指定 IP
32
sudo ufw deny from 1.2.3.4
33

34
# 拒绝指定 IP 到指定端口
35
sudo ufw deny from 1.2.3.4 to any port 22
36

37
# --- 删除规则 ---
38

39
# 按行号删除
40
sudo ufw status numbered
41
sudo ufw delete 3
42

43
# 按规则删除
44
sudo ufw delete allow 80/tcp

1
# 设置默认策略
2
sudo ufw default deny incoming     # 默认拒绝入站（推荐）
3
sudo ufw default allow outgoing    # 默认允许出站（推荐）
4
sudo ufw default deny forward      # 默认拒绝转发
5

6
# 查看默认策略
7
sudo ufw status verbose
8
# Default: deny (incoming), allow (outgoing), deny (forwarding)

1
# 开启日志
2
sudo ufw logging on
3
sudo ufw logging medium    # 日志级别：low/medium/high/full
4

5
# 关闭日志
6
sudo ufw logging off
7

8
# 日志位置：/var/log/ufw.log
9
# 日志格式：
10
# [UFW BLOCK] IN=eth0 SRC=1.2.3.4 DST=10.0.0.1 PROTO=TCP DPT=22

1
# 安装
2
sudo dnf install firewalld
3

4
# 启动并设为开机自启
5
sudo systemctl start firewalld
6
sudo systemctl enable firewalld
7

8
# 查看状态
9
sudo firewall-cmd --state
10
sudo firewall-cmd --status
11

12
# 查看默认区域
13
sudo firewall-cmd --get-default-zone
14

15
# 查看所有区域
16
sudo firewall-cmd --get-zones
17

18
# 查看当前活动区域
19
sudo firewall-cmd --get-active-zones
20

21
# 查看区域详细信息
22
sudo firewall-cmd --zone=public --list-all

1
# --- 服务管理 ---
2
# firewalld 预定义了常见服务，用服务名操作更方便
3

4
# 查看所有预定义服务
5
sudo firewall-cmd --get-services
6

7
# 添加服务（运行时，重启后失效）
8
sudo firewall-cmd --zone=public --add-service=http
9
sudo firewall-cmd --zone=public --add-service=https
10
sudo firewall-cmd --zone=public --add-service=ssh
11

12
# 永久添加服务（需要 reload 才生效）
13
sudo firewall-cmd --zone=public --add-service=http --permanent
14
sudo firewall-cmd --reload
15

16
# 移除服务
17
sudo firewall-cmd --zone=public --remove-service=http --permanent
18
sudo firewall-cmd --reload
19

20
# --- 端口管理 ---
21

22
# 添加端口
23
sudo firewall-cmd --zone=public --add-port=8080/tcp --permanent
24
sudo firewall-cmd --zone=public --add-port=3000-3100/tcp --permanent
25
sudo firewall-cmd --reload
26

27
# 移除端口
28
sudo firewall-cmd --zone=public --remove-port=8080/tcp --permanent
29
sudo firewall-cmd --reload
30

31
# 查看已开放的端口和服务
32
sudo firewall-cmd --zone=public --list-ports
33
sudo firewall-cmd --zone=public --list-services

1
# 更改默认区域
2
sudo firewall-cmd --set-default-zone=public
3

4
# 将网卡绑定到区域
5
sudo firewall-cmd --zone=public --change-interface=eth0 --permanent
6

7
# 查看网卡绑定的区域
8
sudo firewall-cmd --get-zone-of-interface=eth0
9

10
# 将特定 IP 绑定到特定区域（source）
11
sudo firewall-cmd --zone=trusted --add-source=192.168.1.100 --permanent
12
sudo firewall-cmd --reload

1
# 基本语法
2
rule [family="ipv4|ipv6"] [source] [destination] service|port|protocol|icmp-block|masquerade|forward-port [log] [audit] [accept|reject|drop]
3

4
# 只允许 192.168.1.0/24 访问 SSH
5
sudo firewall-cmd --zone=public --add-rich-rule='rule family="ipv4" source address="192.168.1.0/24" service name="ssh" accept' --permanent
6

7
# 限制 SSH 连接频率
8
sudo firewall-cmd --zone=public --add-rich-rule='rule service name="ssh" limit value="3/m" accept' --permanent
9

10
# 拒绝 1.2.3.4 的所有流量
11
sudo firewall-cmd --zone=public --add-rich-rule='rule family="ipv4" source address="1.2.3.4" reject' --permanent
12

13
# 端口转发
14
sudo firewall-cmd --zone=public --add-rich-rule='rule family="ipv4" forward-port port="80" protocol="tcp" to-port="8080"' --permanent
15

16
# 端口转发到另一台机器
17
sudo firewall-cmd --zone=public --add-rich-rule='rule family="ipv4" forward-port port="80" protocol="tcp" to-addr="10.0.0.2" to-port="8080"' --permanent
18

19
# 日志记录
20
sudo firewall-cmd --zone=public --add-rich-rule='rule family="ipv4" source address="1.2.3.4" log prefix="BAD-IP:" level="warning" limit value="3/m" drop' --permanent
21

22
# 查看所有富规则
23
sudo firewall-cmd --zone=public --list-rich-rules
24

25
# 删除富规则
26
sudo firewall-cmd --zone=public --remove-rich-rule='rule family="ipv4" source address="1.2.3.4" reject' --permanent
27
sudo firewall-cmd --reload

1
# Ubuntu/Debian（通常已预装）
2
sudo apt install nftables
3

4
# CentOS/RHEL
5
sudo dnf install nftables
6

7
# 启动并设为开机自启
8
sudo systemctl enable --now nftables
9

10
# 检查版本
11
nft --version
12
# nftables 1.0.6 (Lester Gooch)
13

14
# 查看当前规则集
15
sudo nft list ruleset

1
# --- 表管理 ---
2
# 创建表
3
sudo nft add table inet filter
4

5
# 查看所有表
6
sudo nft list tables
7

8
# 删除表
9
sudo nft delete table inet filter
10

11
# --- 链管理 ---
12
# 创建链
13
sudo nft add chain inet filter input '{ type filter hook input priority 0; policy drop; }'
14
sudo nft add chain inet filter output '{ type filter hook output priority 0; policy accept; }'
15
sudo nft add chain inet filter forward '{ type filter hook forward priority 0; policy drop; }'
16

17
# 查看链
18
sudo nft list chain inet filter input
19

20
# --- 规则管理 ---
21
# 添加规则
22
sudo nft add rule inet filter input iif "lo" accept
23
sudo nft add rule inet filter input ct state established,related accept
24
sudo nft add rule inet filter input tcp dport 22 accept
25
sudo nft add rule inet filter input tcp dport { 80, 443 } accept
26

27
# 插入规则到指定位置
28
sudo nft insert rule inet filter input tcp dport 8080 accept
29

30
# 在指定规则后插入
31
sudo nft add rule inet filter input position 3 tcp dport 8443 accept
32

33
# 删除规则（需要 handle 号）
34
sudo nft -a list chain inet filter input    # -a 显示 handle
35
sudo nft delete rule inet filter input handle 5
36

37
# 清空链
38
sudo nft flush chain inet filter input

1
# --- 集合（set）---
2
# 定义 IP 集合
3
sudo nft add set inet filter blacklist '{ type ipv4_addr; flags interval; }'
4

5
# 添加元素
6
sudo nft add element inet filter blacklist '{ 1.2.3.4, 5.6.7.8, 10.0.0.0/8 }'
7

8
# 使用集合
9
sudo nft add rule inet filter input ip saddr @blacklist drop
10

11
# 动态添加/删除
12
sudo nft add element inet filter blacklist '{ 9.10.11.12 }'
13
sudo nft delete element inet filter blacklist '{ 1.2.3.4 }'
14

15
# --- 字典（map）---
16
# 定义端口→动作映射
17
sudo nft add map inet filter port_policy '{ type inet_service : verdict; }'
18
sudo nft add element inet filter port_policy '{ 22 : accept, 80 : accept, 443 : accept, 3306 : drop }'
19

20
# 使用字典
21
sudo nft add rule inet filter input tcp dport vmap @port_policy

1
# 查看 Docker 创建的 iptables 规则
2
sudo iptables -L DOCKER -n -v
3
sudo iptables -t nat -L DOCKER -n -v
4
sudo iptables -L DOCKER-USER -n -v

1
# 错误做法：直接清空所有规则
2
sudo iptables -F    # 这会清空 Docker 的规则，容器网络会断开
3

4
# 正确做法：重启 Docker 让它重新创建规则
5
sudo systemctl restart docker
6

7
# 或者只清空 Docker 之外的自定义链
8
# 先备份规则
9
sudo iptables-save > /tmp/iptables-backup.rules
10
# 然后只修改需要的链，不动 DOCKER 相关链

1
# 在 DOCKER-USER 链中添加规则（Docker 不会覆盖这个链）
2
# 例如：只允许 1.2.3.4 访问容器 80 端口
3
sudo iptables -I DOCKER-USER -i eth0 -p tcp --dport 80 ! -s 1.2.3.4 -j DROP
4

5
# 或者：禁止容器之间互相访问
6
sudo iptables -I DOCKER-USER -i docker0 -o docker0 -j DROP
7

8
# 查看 DOCKER-USER 链
9
sudo iptables -L DOCKER-USER -n -v

1
# 检查 DOCKER 链是否有 DNAT 规则
2
sudo iptables -t nat -L DOCKER -n -v
3
# 应该看到类似：
4
# DNAT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:8080 to:172.17.0.2:80
5

6
# 检查 FORWARD 链是否允许
7
sudo iptables -L FORWARD -n -v | grep 172.17
8

9
# 如果被你的防火墙规则拦截了
10
# 在 DOCKER-USER 链中添加允许规则
11
sudo iptables -I DOCKER-USER -p tcp --dport 8080 -j ACCEPT

1
# 如果确实需要完全控制 iptables（不推荐，会破坏容器网络）
2
# 编辑 /etc/docker/daemon.json
3
{
4
  "iptables": false
5
}
6

7
# 重启 Docker
8
sudo systemctl restart docker
9

10
# 然后需要手动配置容器网络的 iptables 规则（非常麻烦）