Linux中IP地址配置怎么限制特定IP段访问权限-linux运维-PHP中文网

linux中限制特定ip段访问的核心是控制入站流量，常用方法包括iptables/nftables（全局封禁）、firewalld rich rule（区域化策略）、服务级控制（ssh/nginx等）及tcp wrappers；选择依据是限制范围（全服务或单服务）与系统环境兼容性。

linux中ip地址配置怎么限制特定ip段访问权限

在Linux中限制特定IP段访问权限，核心是控制入站流量，常用方法有系统级防火墙（iptables/nftables/firewalld）、服务级访问控制（如SSH、Nginx）、以及TCP Wrappers。选择哪种方式，取决于你要限制的是“所有服务”还是“某个具体服务”，以及系统环境是否支持。

iptables直接工作在内核网络层，适合全局封禁或放行某网段。规则按顺序匹配，务必注意先后逻辑：

封禁整个C类网段（如192.168.5.0/24）：
sudo iptables -A INPUT -s 192.168.5.0/24 -j DROP
只允许该网段访问SSH端口，其他IP一律拒绝：
sudo iptables -A INPUT -p tcp --dport 22 -s 192.168.5.0/24 -j ACCEPT
sudo iptables -A INPUT -p tcp --dport 22 -j DROP
保存规则（避免重启失效）：
Debian/Ubuntu：sudo iptables-save > /etc/iptables/rules.v4
CentOS/RHEL 6：sudo service iptables save
CentOS/RHEL 7+：需搭配firewalld或使用nftables

firewalld更易管理，支持动态生效且不中断连接：

linux-performance-analyzer

Linux 性能分析与调优专家，覆盖 CPU、内存、磁盘 I/O、网络、内核参数、编译优化、容器/K8s。适用场景：系统卡顿/高负载、内存不足/OOM/Swap 高、CPU 异常/iowait 高。

下载

永久封禁IP段：
sudo firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="192.168.5.0/24" reject'
仅对HTTP服务限制（不影响SSH等其他端口）：
sudo firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="192.168.5.0/24" port port="80" protocol="tcp" reject'
重载生效：
sudo firewall-cmd --reload

若只需限制某服务（如SSH或Web），不建议动全局防火墙，更安全、更精准：

SSH服务：编辑/etc/hosts.allow和/etc/hosts.deny
在/etc/hosts.allow中写：
sshd: 192.168.5.0/24
在/etc/hosts.deny中写：
sshd: ALL
然后重启sshd：sudo systemctl restart sshd
Nginx服务：在server或location块中添加：
deny 192.168.5.0/24;
allow all;
执行nginx -t && nginx -s reload生效
Apache服务：在Directory或Location中配置：
Require not ip 192.168.5.0/24