iptables实现高安全“有状态”防护的关键是构建逻辑闭环策略：默认严格拒绝、优先放行established/related连接、精准控制new入口、显式丢弃invalid包，并辅以限速和白名单；input链四条基础规则须严格按顺序配置——本地回环→已建立与关联连接→节制的新建连接→invalid丢弃。
要让 iptables 真正实现“有状态”的高安全防护，关键不是简单加一条 -m state --state ESTABLISHED，而是构建一套逻辑闭环的状态感知策略：默认严格拒绝、优先放行可信响应、精准控制新建入口、主动识别并拦截异常流量。
必须前置的四条基础规则顺序
INPUT 链中规则的排列顺序直接影响安全性。以下四条应自上而下严格配置：
- 放行本地回环：
iptables -A INPUT -i lo -j ACCEPT（避免本机服务自断） - 放行已建立与关联连接：
iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT（现代内核推荐用conntrack替代旧state模块） - 有节制地允许 NEW 连接：
iptables -A INPUT -p tcp --dport 22 -m conntrack --ctstate NEW -j ACCEPT（只开必要端口，如 SSH） - 显式丢弃 INVALID 包：
iptables -A INPUT -m conntrack --ctstate INVALID -j DROP（防止伪造、分片或状态混乱包绕过检测）
为什么必须同时放行 ESTABLISHED 和 RELATED
ESTABLISHED 表示双向通信已确认（如 TCP 握手完成后的数据包），但很多合法业务依赖 RELATED 流量才能完整工作：
- FTP 被动模式下，控制连接（21端口）建立后触发的数据连接属于 RELATED
- DNS 查询响应、ICMP “端口不可达” 或 “超时” 报文，均被标记为 RELATED
- 若只放行 ESTABLISHED，FTP 列目录失败、
traceroute显示不全、DNS 解析超时等问题会立即出现
搭配限速与白名单提升实战鲁棒性
单纯依赖状态匹配无法抵御连接风暴。建议在 NEW 规则层叠加防护：
- 对新连接限速防 SYN Flood：
iptables -A INPUT -p tcp --syn -m conntrack --ctstate NEW -m limit --limit 5/minute --limit-burst 5 -j ACCEPT - 管理 IP 白名单优先级最高（插入到链首）：
iptables -I INPUT -s 203.0.113.42 -j ACCEPT（避免改规则时意外锁死自己） - OUTPUT 链保持默认 ACCEPT 即可，除非特殊隔离需求，否则无需限制本机出向流量
验证与持续保障要点
配置完成后务必执行三项检查：
- 确认规则加载顺序：
iptables -vnL INPUT（-v 显示匹配计数，-n 避免 DNS 延迟） - 检查连接跟踪模块是否就绪：
lsmod | grep nf_conntrack（缺失需modprobe nf_conntrack） - 保存规则防止重启失效：
iptables-save > /etc/iptables/rules.v4（Debian/Ubuntu）或service iptables save（RHEL/CentOS）
