Linux防火牆策略：僅允許部分埠訪問

一、埠選擇

在確定Linux防火牆策略的過程中，首先要選擇需要開放的埠。一般來說，對於伺服器來說，需要開放的埠包括HTTP、HTTPS、SSH、FTP等。但是在實際使用中，我們可以根據具體情況進行選擇。

以HTTP為例，HTTP協議的默認埠為80。因此，在防火牆中開放80埠可以讓用戶通過HTTP協議訪問網站。如果需要使用HTTPS協議，需要開放443埠。可以通過下面的iptables命令開放80埠：

iptables -A INPUT -p tcp --dport 80 -j ACCEPT

其中，「-A INPUT」表示添加一條規則到INPUT鏈，「-p tcp」表示使用TCP協議，「–dport 80」表示目標埠是80，最後「-j ACCEPT」表示接受這個連接。通過這個命令，可以將來自網路的80埠的連接請求授權給伺服器。

同樣的，如果需要開放其他埠，可以按照上述方法進行設置。

二、禁止所有埠訪問

在確定需要開放的埠後，為了確保伺服器的安全性，需要禁止所有未授權的埠訪問。可以通過下面的iptables命令實現：

iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT ACCEPT

其中，「-P INPUT DROP」表示INPUT鏈默認拒絕所有請求，「-P FORWARD DROP」表示FORWARD鏈默認拒絕所有請求，「-P OUTPUT ACCEPT」表示OUTPUT鏈默認允許所有請求。

當然，如果網路中有特殊的服務需要開放，可以針對該服務在輸入鏈中添加相應規則，以滿足服務的正常運行。

三、通過MAC地址限制訪問

除了限制埠訪問之外，還可以通過MAC地址限制訪問。MAC地址是網路介面的唯一地址，因此只有授權的MAC地址才能訪問伺服器。

可以通過下面的iptables命令實現MAC地址過濾：

iptables -A INPUT -m mac --mac-source 00:11:22:33:44:55 -j ACCEPT

其中，「-m mac」表示使用mac模塊進行過濾，「–mac-source 00:11:22:33:44:55」表示指定MAC地址為00:11:22:33:44:55。

針對不同的MAC地址可以添加不同的規則，以實現細粒度的訪問控制。

四、防止DDoS攻擊

DDoS攻擊是一種常見的網路攻擊方式，可以通過佔用伺服器的帶寬、資源等方式使伺服器無法正常運行。為了防止DDoS攻擊，可以使用iptables的限制速率功能，限制同一個IP地址的訪問速率。

可以通過下面的iptables命令啟用限速功能：

iptables -A INPUT -p tcp -m limit --limit 100/minute -j ACCEPT
iptables -A INPUT -j DROP

其中，「-m limit」表示使用速率限制模塊，「–limit 100/minute」表示每分鐘允許100個連接請求，「-j ACCEPT」表示接受這個連接。如果超過限制，就會進入DROP規則，拒絕這個連接。

通過此方式，可以有效地防止DDoS攻擊。