如何通过Iptables限制本地回环接口的非法访问加固实战教程-安全-PHP中文网

必须允许lo接口通信，否则本地服务自调用、数据库连接、Docker通信等均会失败；正确配置是优先插入iptables -I INPUT -i lo -j ACCEPT和iptables -I INPUT -s 127.0.0.0/8 ! -i lo -j DROP防伪造。

如何通过iptables限制本地回环接口的非法访问加固实战教程

iptables 本身不用于“限制本地回环接口的非法访问”，恰恰相反——必须主动允许 lo 接口通信，否则本机服务自调用、数据库本地连接、Docker 容器间通信、系统健康检查等都会失败。所谓“加固”，是指防止外部流量伪装成回环地址（如伪造源 IP 为 127.0.0.1）绕过规则，或避免因规则顺序错误导致 lo 流量被误拒。

为什么不能禁止或限制 lo 接口

回环接口（lo）是 Linux 内核强制使用的虚拟网络设备，所有发往 127.0.0.0/8 或 ::1 的数据包都走此路径。它不经过物理网卡，也不受外部网络影响。若在 INPUT 链中未明确放行 lo，或将其置于拒绝规则之后，将导致：

本机 curl http://localhost 失败
MySQL/PostgreSQL 本地 socket 连接被拒（即使使用 -h 127.0.0.1）
systemd 服务健康检查超时
容器内应用无法访问宿主机 localhost 服务

正确放行 lo 接口的两条关键规则

这两条规则应放在 INPUT 链最前端（用 -I），确保优先匹配：

sudo iptables -I INPUT -i lo -j ACCEPT：接受所有进入 lo 接口的流量（不限协议、端口、方向）
sudo iptables -I INPUT -s 127.0.0.0/8 ! -i lo -j DROP：丢弃所有源地址属于 127.0.0.0/8 但**不是**从 lo 接口进来的包——这是防 IP 伪造的核心防护，堵住外部攻击者伪造 127.0.0.1 发起请求的漏洞

常见配置陷阱与修复顺序

很多用户配置后发现 “localhost 访问不了”，问题往往出在规则顺序。正确加载顺序应为：

第 1 条：允许 lo 接口（-I INPUT）
第 2 条：放行已建立连接（-I INPUT）
第 3 条：按需开放服务端口（如 -A INPUT -p tcp --dport 3306 …）
最后：设置默认策略为 DROP（sudo iptables -P INPUT DROP）或追加兜底拒绝（sudo iptables -A INPUT -j DROP）

切忌把 -j DROP 或 -j REJECT 放在 lo 规则之前；也勿用 --dport 限制 lo 流量（如 -i lo --dport 3306），这会漏掉 UDP、ICMP 或其他本地协议。