直接将input链默认策略设为drop是构建强边界防火墙的核心动作，需先清空规则、设置input/forward为drop和output为accept，再放行lo、established/related及受限ssh，最后按需开放端口并封禁高危行为，保存后生效。
直接将 INPUT 链默认策略设为 DROP，是构建强边界防火墙的核心动作。它不依赖规则匹配顺序的“侥幸”，而是确立“一切入站流量，未经白名单明示许可，一律静默丢弃”的硬性原则——这才是真正意义上的物理级阻断。
第一步：清空旧规则并锁定默认策略
避免残留 ACCEPT 规则干扰新策略，必须先清理再设策：
- 清空 filter 表所有链：iptables -F
- 删除所有自定义链：iptables -X
- 将 INPUT、FORWARD 默认策略设为 DROP：iptables -P INPUT DROP && iptables -P FORWARD DROP
- OUTPUT 通常保持宽松（本机出站可信）：iptables -P OUTPUT ACCEPT
第二步：只放行三类不可删的基础通信
锁死 INPUT 后，这三条规则是系统存活底线，缺一不可：
-
本地回环通信：允许 lo 接口所有流量，保障本机服务自检与数据库等本地调用：
iptables -A INPUT -i lo -j ACCEPT -
已建立连接的返回包：使用 conntrack 模块识别 ESTABLISHED/RELATED 状态，确保你主动发起的 SSH、curl、DNS 查询等能收到响应：
iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT -
SSH 新连接（仅限必要来源）：务必限制来源 IP 或网段，且建议加连接速率控制，防暴力破解：
iptables -A INPUT -s 10.0.0.0/24 -p tcp --dport 22 -m conntrack --ctstate NEW -m limit --limit 3/minute -j ACCEPT
iptables -A INPUT -s 10.0.0.0/24 -p tcp --dport 22 -m conntrack --ctstate NEW -j DROP
第三步：按需添加服务端口，且必须带状态限定
每个开放端口都应明确协议、端口、连接状态，杜绝裸端口暴露：
- HTTP/HTTPS（仅限 NEW 连接）：
iptables -A INPUT -p tcp --dport 80 -m conntrack --ctstate NEW -j ACCEPT
iptables -A INPUT -p tcp --dport 443 -m conntrack --ctstate NEW -j ACCEPT - 多端口合并写法（更清晰）：
iptables -A INPUT -p tcp -m multiport --dports 80,443 -m conntrack --ctstate NEW -j ACCEPT - 禁止泛开——例如不要写 -p tcp --dport 22 -j ACCEPT（无来源、无状态），那等于把门敞开。
第四步：封禁高危行为与恶意源
在白名单基础上叠加“负向防护”，提升抗扫描与泛洪能力：
-
限频 ping：允许每秒最多 5 个 ICMP 请求，超量即 DROP：
iptables -A INPUT -p icmp -m limit --limit 5/second -j ACCEPT
iptables -A INPUT -p icmp -j DROP -
即时封 IP：发现异常登录或扫描，立即插入头部规则拦截：
iptables -I INPUT -s 203.0.113.99 -j DROP -
拒绝无效连接尝试：对 INVALID 状态包直接丢弃（可选增强项）：
iptables -A INPUT -m conntrack --ctstate INVALID -j DROP
完成配置后，用 iptables -L -n -v --line-numbers 核对规则顺序与计数；务必执行保存操作——RHEL/CentOS 执行 service iptables save，Debian/Ubuntu 建议用 iptables-save > /etc/iptables/rules.v4。规则不保存，重启即失效。
