iptables设置入站规则核心是合理配置input链，默认策略设为drop、优先放行lo和established连接、按需开放端口、最后持久化保存。
先设默认拒绝策略
不设默认策略，所有规则都可能失效。执行以下命令，让 INPUT 和 FORWARD 链默认丢弃所有未明确允许的入站包：
- sudo iptables -P INPUT DROP
- sudo iptables -P FORWARD DROP
- OUTPUT 一般保持 ACCEPT（sudo iptables -P OUTPUT ACCEPT），确保本机可正常发请求
注意：这条命令要最先执行，否则后续添加的 ACCEPT 规则可能被隐式放行覆盖。
必须放行的基础连接
设了 DROP 后，连 SSH 都连不上——所以得立刻补上两条保命规则：
- 本地回环通信：sudo iptables -A INPUT -i lo -j ACCEPT
- 已建立/关联连接：sudo iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
这两条放在最前（用 -A 追加即可，因默认策略在链首生效，它们实际排在 DROP 前面），保证你不会被锁在服务器外。
按需开放服务端口
只开真正需要的端口，避免宽泛放行。常用写法：
- SSH（限制来源更安全）：sudo iptables -A INPUT -p tcp --dport 22 -s 192.168.1.0/24 -j ACCEPT
- HTTP/HTTPS：sudo iptables -A INPUT -p tcp -m multiport --dports 80,443 -j ACCEPT
- 自定义端口（如 8080）：sudo iptables -A INPUT -p tcp --dport 8080 -j ACCEPT
如果只给特定 IP 访问某端口，把 -s x.x.x.x 加在对应规则里即可；不要用 -j ACCEPT 放行整个网段，除非真有必要。
保存规则并验证
iptables 规则重启即失效，必须持久化：
- Debian/Ubuntu 系统：sudo netfilter-persistent save（需先安装
iptables-persistent） - CentOS/RHEL：sudo service iptables save 或 sudo iptables-save > /etc/sysconfig/iptables
验证是否生效：
- 查规则列表：sudo iptables -L -n --line-numbers
- 看计数是否增长：sudo iptables -L -v -n（观察 pkts 列）
- 测试端口连通性（从另一台机器 telnet 或 curl）
