linux防火墙白名单必须先设默认拒绝再按序插入允许规则，iptables需用-i input确保accept在drop前，firewalld须用permanent rich rule并reload，ufw要先设default deny incoming，且均需检查云安全组。

直接设白名单不生效，八成是规则顺序或默认策略没调对。Linux防火墙白名单不是“加一条允许就行”，而是“先拒所有、再放指定”，顺序错一丁点就全失效。

iptables 白名单规则必须按顺序插入

规则匹配是自上而下，一旦遇到 -j DROP 或默认策略为 DROP，后续的 ACCEPT 就永远不会执行。

• 先查当前 INPUT 链顺序和默认策略：iptables -nL INPUT --line-numbers，重点看最后一行是不是 policy DROP
• 如果默认策略是 ACCEPT，得手动在末尾加拒绝兜底：iptables -A INPUT -j DROP，但这条必须在所有 ACCEPT 规则之后
• 真正放行某 IP + 端口，要用 -I INPUT 1 插入最前面（比如只许 203.0.113.45 连 SSH）：iptables -I INPUT 1 -s 203.0.113.45 -p tcp --dport 22 -j ACCEPT
• 别漏掉状态跟踪规则，否则 SSH 会立刻断开：iptables -I INPUT 2 -m state --state ESTABLISHED,RELATED -j ACCEPT
• 本地回环也得显式放行：iptables -I INPUT 3 -i lo -j ACCEPT

firewalld 的 rich rule 才是真白名单

--add-source 只是把 IP 划进 zone，不是限制端口；要精确到「IP + 端口」，必须用 rich rule，否则可能意外放开所有服务。

Browser Setup (No-Root Linux)

在无 root/sudo 权限的环境（云容器、VPS、隔离主机）中安装并配置 OpenClaw 浏览器工具的 headless Chrome。适用场景：...

下载

• 只允 192.168.1.100 访问 8080 TCP：firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="192.168.1.100" port port="8080" protocol="tcp" accept'
• 如果之前用 --add-port=8080/tcp 全局开放过，得先删掉：firewall-cmd --permanent --remove-port=8080/tcp，否则 rich rule 被绕过
• 执行后必须重载：firewall-cmd --reload，否则不生效
• 验证是否写进去了：firewall-cmd --list-rich-rules，输出里要有 accept，不能是 reject 或空

ufw 在 Debian/Ubuntu 上最省事但容易踩坑

ufw 默认策略宽松，default deny incoming 必须显式设，否则白名单形同虚设。

• 先设默认拒绝：ufw default deny incoming（别跳过这步）
• 再加单 IP 白名单（如只放 123.123.123.123 的 SSH）：ufw allow from 123.123.123.123/32 to any port 22 proto tcp
• /32 不能省，否则可能误匹配网段
• 启用前确认当前 SSH 连接 IP 不在被拒范围内，否则连自己都断掉
• 启用：ufw enable，然后 ufw status verbose 查规则是否加载成功

重启后规则丢失？保存动作因工具而异

所有临时添加的规则都不持久，系统重启后清空——这点最容易被忽略，尤其在生产环境。

• iptables：Debian/Ubuntu 用 iptables-save > /etc/iptables/rules.v4；CentOS 6 用 service iptables save；CentOS 7+ 默认用 nftables，iptables 命令只是兼容层，保存无效
• firewalld：只要用了 --permanent 参数，firewall-cmd --reload 后就自动持久化，不用额外保存
• ufw：规则本身是持久的，ufw enable 即生效且开机自启，无需手动保存
• 云服务器（阿里云、腾讯云等）：安全组是独立于系统防火墙的外层控制，即使本地规则全对，安全组没开对应 IP+端口，照样连不上