瞬间熔断染毒网段的核心是用iptables -i input 1将drop规则插入input链首位，确保新包在匹配任何其他规则前即被丢弃，实现秒级阻断；须先检查默认策略（accept/drop），再按ip、网段或端口精准插入，立即验证并保存规则，解封时推荐按内容删除。
要瞬间熔断染毒网段，核心就一条：用 iptables -I INPUT 1 把 DROP 规则插到 INPUT 链最顶端。位置比内容更重要——只要排在第 1 行，新进数据包在被任何其他规则处理前就被丢弃，真正实现秒级阻断。
先看默认策略，防自锁
执行以下命令查看当前 INPUT 链基础状态：
sudo iptables -L INPUT -n --line-numbers
重点看输出第一行开头的 policy ACCEPT 还是 policy DROP：
- 如果是 ACCEPT，说明默认放行，必须抢在所有允许规则之前插入，否则封禁会被绕过
- 如果是 DROP，说明已有严格基线，但仍需插在第 1 行——否则后续某条 ACCEPT 规则（比如放行内网或 SSH）可能让染毒流量溜进来
精准插入 DROP 规则
所有命令都带 -I INPUT 1，确保插在链首：
- 封单个 IP：sudo iptables -I INPUT 1 -s 203.124.55.77 -j DROP
- 封 /24 网段：sudo iptables -I INPUT 1 -s 203.124.55.0/24 -j DROP
- 封 /16 网段：sudo iptables -I INPUT 1 -s 203.124.0.0/16 -j DROP
- 只封某端口（如 SSH）：sudo iptables -I INPUT 1 -s 203.124.55.77 -p tcp --dport 22 -j DROP
加注释更稳妥（便于识别和批量清理）：
sudo iptables -I INPUT 1 -s 203.124.55.0/24 -m comment --comment "MALWARE-SEGMENT-20260528" -j DROP
立即验证并固化规则
插入后规则即刻生效，但需快速确认：
- 检查是否真在第 1 行：iptables -L INPUT -n --line-numbers | head -5
- 从染毒 IP 尝试 ping 或 telnet 本机任意端口，应完全无响应
- 保存防止重启失效：
Debian/Ubuntu：iptables-save > /etc/iptables/rules.v4
CentOS/RHEL：iptables-save > /etc/sysconfig/iptables
解封操作要快且准
威胁解除后，优先按内容删除，避免误删其他规则：
- 查规则位置：iptables -L INPUT -n --line-numbers | grep "203.124.55.0/24"
- 按行号删（若确认无误）：iptables -D INPUT 2（假设显示在第 2 行）
- 按内容删（推荐）：iptables -D INPUT -s 203.124.55.0/24 -j DROP
不复杂但容易忽略
