Linux 怎么使用 iptables 隐藏服务器开放的真实端口-linux运维-PHP中文网

linux中用iptables隐藏服务器真实端口的核心思路是将外部入口端口（如80）重定向至本机真实服务端口（如3000），通过prerouting链redirect实现，并配合input链封禁直接访问真实端口，使3000对外不可见而服务仍正常响应。

linux 怎么使用 iptables 隐藏服务器开放的真实端口

用 iptables 隐藏服务器真实端口，核心思路不是“彻底隐藏”，而是把外部访问的入口端口（比如 8080）映射到内部服务监听的真实端口（比如 80 或 3000），让客户端只看到对外暴露的端口，而不知道后端实际跑在哪。这属于端口重定向或端口转发，不暴露服务原始监听端口，降低被扫描发现的风险。

适用于服务运行在本机，但不想直接暴露其监听端口。例如 Web 服务监听在 3000 端口，对外只开放 80 端口：

确保内核开启 IP 转发（虽本地重定向通常不需要，但建议检查）：echo 1 > /proc/sys/net/ipv4/ip_forward
添加 PREROUTING 规则，将进来的 80 端口流量重定向到本机 3000 端口：
sudo iptables -t nat -A PREROUTING -p tcp --dport 80 -j REDIRECT --to-port 3000
确保 INPUT 链允许目标端口（3000）的连接（因为重定向后数据包仍走 INPUT 链）：
sudo iptables -A INPUT -p tcp --dport 3000 -j ACCEPT
如果原服务只绑定 127.0.0.1（如 localhost:3000），需确认它能响应来自 0.0.0.0 的连接；否则改为监听 0.0.0.0:3000 或调整应用配置

仅做重定向还不够——若攻击者扫到 3000 端口还在监听，就暴露了。所以要配合“封禁直接访问”：

PyCharm 2026.2.0.1 Linux版

PyCharm 2026.2.0.1 Linux版提供 JetBrains 官方 2026.2.0.1 版本安装包，适合需要指定 PyCharm 版本进行 Python 项目开发、运行和调试的用户。

下载

先禁止所有入站连接：sudo iptables -P INPUT DROP
只放行重定向入口（如 80）和必要管理端口（如 SSH 的 22）：
sudo iptables -A INPUT -p tcp --dport 80 -j ACCEPT
sudo iptables -A INPUT -p tcp --dport 22 -j ACCEPT
关键一步：明确拒绝直接访问真实端口（如 3000）：
sudo iptables -A INPUT -p tcp --dport 3000 -j REJECT --reject-with tcp-reset
这样外部无法直连 3000，但通过 80 进来的请求经 REDIRECT 后仍可到达，服务正常，端口却“不可见”

iptables 规则是内存态的，重启即丢失。必须显式保存：

CentOS/RHEL 6 或旧版：sudo service iptables save（自动写入 /etc/sysconfig/iptables）
Ubuntu/Debian：sudo iptables-save > /etc/iptables/rules.v4
验证保存结果：sudo iptables -t nat -L -n 和 sudo iptables -L -n 查看规则是否持久化