HoRain云--Ubuntu端口管理终极指南：iptables实战技巧-CSDN博客

本文链接：https://blog.csdn.net/sinat_57153473/article/details/149768421

🎬 HoRain 云小助手：个人主页

⛺️生活的理想，就是为了理想的生活!

⛳️ 推荐

前些天发现了一个超棒的服务器购买网站，性价比超高，大内存超划算！忍不住分享一下给大家。点击跳转到网站。

在Ubuntu系统中，使用iptables限制端口访问是防火墙管理的核心操作，以下是详细步骤及常见场景的配置方法：

🔧 一、基础操作：阻止特定端口

1. 安装iptables（如未预装）

sudo apt update
sudo apt install iptables

2. 阻止TCP/UDP端口

阻止TCP端口（如8080）：

sudo iptables -A INPUT -p tcp --dport 8080 -j DROP  # 追加规则到INPUT链末尾
# 或
sudo iptables -I INPUT -p tcp --dport 8080 -j DROP  # 插入规则到链首（优先级更高）

阻止UDP端口（如5353）：

sudo iptables -A INPUT -p udp --dport 5353 -j DROP

3. 保存规则（防止重启失效）

sudo apt install iptables-persistent  # 安装持久化工具
sudo netfilter-persistent save       # 保存当前规则

安装时会提示是否保存现有规则，选择 是 即可自动写入 /etc/iptables/rules.v4。

🔒 二、进阶控制：精细化管理端口访问

1. 允许特定IP访问端口（白名单）

# 允许192.168.1.100访问TCP端口80
sudo iptables -A INPUT -p tcp -s 192.168.1.100 --dport 80 -j ACCEPT
# 拒绝其他IP访问该端口
sudo iptables -A INPUT -p tcp --dport 80 -j DROP

2. 限制IP网段访问

# 阻止整个网段（如192.168.2.0/24）访问SSH端口（22）
sudo iptables -A INPUT -p tcp -s 192.168.2.0/24 --dport 22 -j DROP

3. 限制端口范围

# 阻止700-800端口的所有流量
sudo iptables -A INPUT -p tcp --dport 700:800 -j DROP
# 仅允许特定IP（11.129.35.45）访问该范围
sudo iptables -I INPUT -s 11.129.35.45 -p tcp --dport 700:800 -j ACCEPT

⚙️ 三、维护与验证

1. 查看当前规则

sudo iptables -L -n -v  # 显示详细规则（数字格式IP和端口）

2. 删除规则

# 方法1：按规则内容删除
sudo iptables -D INPUT -p tcp --dport 8080 -j DROP
# 方法2：按规则编号删除（先列出编号）
sudo iptables -L -n --line-numbers  # 查看规则编号
sudo iptables -D INPUT 2            # 删除INPUT链的第2条规则

3. 清空所有规则

sudo iptables -F  # 清空filter表
sudo iptables -F -t nat  # 清空nat表

⚠️ 四、关键注意事项

规则顺序：iptables按从上到下匹配规则，优先执行位置靠前的规则。建议白名单（ACCEPT）规则放在黑名单（DROP）之前。
协议区分：明确指定协议（-p tcp/udp），避免误封。
备份规则：修改前备份现有规则：
```
sudo iptables-save > ~/iptables-backup.rules
```
生产环境建议：
- 使用ufw简化配置（底层仍为iptables）：
```
sudo ufw deny 8080  # 快速阻止端口
```
- 避免直接操作OUTPUT链（可能导致服务器无法访问外部服务）。

💎 速查表

场景	命令示例
阻止TCP端口	`sudo iptables -A INPUT -p tcp --dport 端口 -j DROP`
允许特定IP访问端口	`sudo iptables -A INPUT -p tcp -s IP --dport 端口 -j ACCEPT`
阻止IP网段	`sudo iptables -A INPUT -s 网段/掩码 -j DROP`
保存规则	`sudo netfilter-persistent save`
查看规则	`sudo iptables -L -n -v`