防火墙默认策略必须设为“拒绝所有”
很多管理员启用防火墙后就以为安全了，其实默认放行反而最危险。生产环境必须采用“默认拒绝”策略，只显式允许必需的流量通过。这样能直接封堵80%以上的自动化扫描和暴力破解尝试。
操作要点：
- Linux用iptables时执行：iptables -P INPUT DROP
- firewalld启用panic模式可快速生效：firewall-cmd --panic-on
- Windows Server中三个配置文件（域/专用/公用）都应设为“默认阻止入站”
- 规则列表顶部必须是明确的ALLOW语句，避免被后续DENY覆盖
只开放真实需要的端口和来源
开放22、80、443不等于安全——关键在限制谁可以访问。数据库端口如3306、5432绝不能对公网开放；SSH即使保留也必须绑定IP段或改用非标端口。
常见合理配置：
- SSH仅允许可信管理网段：192.168.10.0/24 → port 2222
- Web服务开放80/443，但禁止访问后台路径（靠WAF或应用层控制）
- 内部服务如Redis、Elasticsearch，只允许应用服务器单IP访问
- 禁用ICMP响应（防止网络探测）：iptables -A INPUT -p icmp -j DROP
用连接状态和速率限制防暴力攻击
单纯按端口放行无法防御密码爆破或SYN Flood。需结合连接跟踪和限速机制，让攻击者难以持续发起请求。
实用防护规则示例：
- 限制SSH新建连接频率：iptables -A INPUT -p tcp --dport 2222 -m state --state NEW -m limit --limit 3/min --limit-burst 3 -j ACCEPT
- 丢弃非法TCP标志包（XMAS/NULL扫描）：iptables -A INPUT -p tcp --tcp-flags ALL NONE -j DROP
- Windows PowerShell中启用连接限制：Set-NetFirewallSetting -ConsolidatedConnectionLimit 100
- firewalld添加rich rule实现IP级限速：firewall-cmd --add-rich-rule='rule family="ipv4" source address="203.0.113.5" port port="2222" protocol="tcp" limit value="3/m" accept'
定期审计与自动化更新规则
防火墙规则不是一劳永逸的配置。业务变化、新服务上线、旧IP退役都会让规则过期甚至产生冲突。建议每季度做一次规则健康检查。
高效运维方式：
- 所有规则必须带清晰注释和负责人标签，例如：# Allow API gateway (10.20.30.0/24) → /auth, @ops-team 2026-05
- 用脚本导出当前规则并比对基线：iptables-save > /etc/iptables.rules.bak && diff /etc/iptables.rules /etc/iptables.rules.bak
- Windows中用PowerShell批量导出：Get-NetFirewallRule | Where-Object {$_.Enabled -eq 'True'} | Export-Csv firewall-rules.csv
- 将规则纳入配置管理工具（Ansible/Chef），确保多台服务器策略一致
