iptables 与 UFW 防火墙规则
使用 iptables 和更简单的 UFW 界面编写规则，以允许、拒绝和记录流量
iptables 与 UFW 防火墙规则 是 CoddyKit 上的免费 Cyber Security Academy 课时。 这是第 4 节课，共 4 节。 你可以在下方免费阅读本课时的完整内容 — 然后在浏览器中使用内置代码编辑器和全天候 AI 导师进行实践。 这是 Cyber Security Academy 学习路径的一部分，你的进度在网页和 CoddyKit 应用中同步。 Cyber Security Academy 课程共包含 4 节课。
Linux 防火墙概览
Linux 通过 netfilter 内核框架过滤网络流量。iptables 是传统的用户空间工具；nftables 是其现代替代品。UFW（简易防火墙）是 iptables 的简化前端，非常适合 Ubuntu/Debian 服务器。
iptables 链
iptables 使用链处理数据包：
- INPUT —— 发往本机的数据包
- OUTPUT —— 从本机发出的数据包
- FORWARD —— 经由本机路由的数据包
每条链中的规则会从上到下进行评估；以第一条匹配的规则为准。
iptables 默认策略
当没有规则匹配时，将应用默认策略。安全的默认设置是：
# Default deny all, allow established connections
iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT ACCEPT
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -i lo -j ACCEPT常用 iptables 规则
必要的允许规则：
# Allow SSH
iptables -A INPUT -p tcp --dport 22 -j ACCEPT
# Allow HTTP/HTTPS
iptables -A INPUT -p tcp -m multiport --dports 80,443 -j ACCEPT
# Allow from specific IP
iptables -A INPUT -s 10.0.0.5 -j ACCEPT
# List rules
iptables -L -n -v --line-numbers保存并持久化 iptables 规则
iptables 规则默认不会持久化——重启后会重置：
# Debian/Ubuntu:
aptitude install iptables-persistent
netfilter-persistent save
# RHEL/CentOS:
service iptables saveUFW 基础
UFW 简化了 Ubuntu 上的防火墙管理。常见流程如下：
ufw default deny incoming
ufw default allow outgoing
ufw allow ssh
ufw allow 80/tcp
ufw allow 443/tcp
ufw enable
ufw status verboseUFW 应用程序配置文件
UFW 支持命名配置文件，可以为应用程序开放所需端口：
ufw app list
ufw allow "Nginx Full" # opens 80 and 443
ufw allow "OpenSSH"
ufw app info "Nginx Full"UFW 速率限制
UFW 可以限制连接速率，以防止暴力破解攻击：
# Allow SSH but rate-limit (max 6 connections per 30 seconds per IP)
ufw limit ssh
# This triggers after 6 connection attempts in 30 seconds记录防火墙事件
启用日志记录，以审计被阻止的流量：
ufw logging on
ufw logging medium
# Logs appear in /var/log/ufw.log
tail -f /var/log/ufw.log | grep BLOCKnftables：现代替代方案
nftables 在现代 Linux 发行版中取代了 iptables。它使用更简洁的语法，并能为复杂规则集提供更好的性能：
nft list ruleset
nft add rule inet filter input tcp dport 22 accept
nft add rule inet filter input drop有状态与无状态防火墙
有状态防火墙会跟踪连接状态（NEW、ESTABLISHED、RELATED），并自动允许发出连接的响应。无状态规则会独立匹配每个数据包，因此需要为两个方向分别设置明确规则。Linux netfilter 通过 conntrack 模块实现有状态处理。
快速检查：防火墙规则
哪个 UFW 命令会将默认策略设置为阻止所有传入连接，除非明确允许？
课程回顾
iptables（以及现代的 nftables）通过 INPUT/OUTPUT/FORWARD 链控制 Linux 数据包过滤。UFW 通过命名配置文件、速率限制和日志记录简化了这一过程。默认策略应为 deny incoming。请始终允许已建立的连接和环回流量。持久化规则，使其在重启后仍然有效。
常见问题解答
「iptables 与 UFW 防火墙规则」课时是免费的吗？
是的 — 「iptables 与 UFW 防火墙规则」的完整文本可在网页上免费阅读。要进行交互式练习（内置代码编辑器和全天候 AI 导师）并解锁 Cyber Security Academy 课程的其余内容，请升级到 CoddyKit PRO。 Cyber Security Academy 课程共包含 4 节课。
「iptables 与 UFW 防火墙规则」这节课中我会学到什么？
使用 iptables 和更简单的 UFW 界面编写规则，以允许、拒绝和记录流量 你通过在浏览器中直接运行的动手代码来练习 Cyber Security Academy，全天候 AI 导师会在你学习这节课的过程中回答你的问题。
学习 Cyber Security Academy 需要有经验吗？
无需任何先前经验。CoddyKit 上的 Cyber Security Academy 课程适合初学者到高级学习者，你可以从这里开始或从头开始，按照自己的节奏学习。 这是第 4 节课，共 4 节。
「iptables 与 UFW 防火墙规则」课时需要多长时间？
大多数 CoddyKit 课程大约需要 5–10 分钟。每节课都很精短且互动，所以你能稳步进步，并在网页和应用中从离开的地方继续。
我能在这节 Cyber Security Academy 课中编写并运行代码吗？
能。每节 Cyber Security Academy 课都包含内置代码编辑器，你可以在浏览器中直接编写并运行真实代码，并获得即时 AI 反馈 — 无需本地设置。
此课程中的所有课时
- 文件权限与所有权
- 用户与组管理
- SSH 加固与基于密钥的身份验证
- iptables 与 UFW 防火墙规则