最有效方式是通过iptables按接口（-i/-o）匹配流量并结合conntrack状态实现精准放行或拒绝，需先确认网卡名和业务端口，规则须ACCEPT在DROP前，且须持久化保存。
直接在操作系统层面为特定网卡（如 eth0、ens33 或 wlan0）设置访问策略，是控制非授权业务流量最有效的方式之一。核心思路是：先识别目标接口，再通过防火墙规则精确匹配进出该接口的流量，最后按需放行或拒绝。
明确目标网络接口与业务端口
配置前必须确认两点：一是你要管控的具体网卡名称（可用 ip link show 或 ifconfig 查看），二是该接口上运行的关键业务所用的协议和端口（例如 Web 服务用 80/443，数据库用 3306，内部 API 用 8080）。避免笼统地封整个接口，否则可能误断管理通道。
- 建议用 ss -tuln 或 netstat -tuln 检查当前监听端口及绑定的地址
- 若业务只监听 127.0.0.1，则无需对该接口设限；若监听 0.0.0.0 或具体 IP，则需针对性过滤
- 注意区分 IPv4 和 IPv6，iptables 默认只管 IPv4，ip6tables 才管 IPv6
使用 iptables 按接口限制出入站流量
iptables 的 -i（入站接口）和 -o（出站接口）参数可精准锚定物理或逻辑网卡。例如，只允许 eth0 接收 SSH（22）和 HTTP（80），其余全部拒绝：
- 放行必要连接：iptables -A INPUT -i eth0 -p tcp --dport 22 -j ACCEPT
- 拒绝其他入向流量：iptables -A INPUT -i eth0 -j DROP
- 限制出站方向（如禁止 eth0 主动外连 Redis）：iptables -A OUTPUT -o eth0 -p tcp --dport 6379 -j REJECT
- 务必把 ACCEPT 规则放在 DROP/REJECT 之前，iptables 按顺序匹配
结合 conntrack 实现状态感知的细粒度控制
单纯靠端口和接口容易被绕过。启用连接跟踪后，可区分“新建连接”“已建立连接”“相关连接”，提升策略可靠性：
- 只允许 eth0 上的新建 TCP 连接目标为 443，但放行所有已建立连接的返回包：iptables -A INPUT -i eth0 -m state --state ESTABLISHED,RELATED -j ACCEPT
- 再加一条：iptables -A INPUT -i eth0 -p tcp --dport 443 -m state --state NEW -j ACCEPT
- 最后拒绝 eth0 上所有其他新建连接：iptables -A INPUT -i eth0 -m state --state NEW -j DROP
持久化规则并验证生效效果
iptables 规则默认重启即失效，需保存并确保开机加载：
- Debian/Ubuntu：iptables-save > /etc/iptables/rules.v4，并安装 iptables-persistent
- RHEL/CentOS 7+：service iptables save 或用 iptables-services 包
- 验证是否生效：iptables -L INPUT -v -n --line-numbers | grep eth0，观察包计数是否增长
- 模拟测试：从另一台机器 telnet 目标 eth0 的非授权端口，应无响应或被拒绝
