使用 iptables 限制 SSH 连接并允许特定来源 IP 访问的完整指南

在保护服务器安全时，限制 SSH 连接是一项重要措施。通过 iptables，你可以有效地控制哪些 IP 地址可以访问你的服务器，从而减少潜在的安全威胁。本文将介绍如何使用 iptables 禁止所有类型的连接，并允许特定来源 IP 的连接，提供实战案例和相关的 Shell 脚本。

一、默认拒绝所有连接

首先，我们需要设置 iptables 使其默认拒绝所有的输入和转发连接，只允许输出连接。这样可以确保没有任何未经许可的连接能够进入服务器。

iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT ACCEPT

二、允许特定来源 IP 的连接

假设我们只允许 IP 地址为 192.168.1.100 的设备访问服务器。我们需要添加一条规则来允许这个 IP 地址的所有连接。

iptables -A INPUT -s 192.168.1.100 -j ACCEPT

如果你只想允许该 IP 地址通过 SSH 连接（通常是端口 22），可以添加以下规则：

sh
复制代码
iptables -A INPUT -p tcp -s 192.168.1.100 --dport 22 -j ACCEPT

三、允许本地回环接口连接

本地回环接口（localhost）是服务器自身的网络接口，通常用于本地通信。为了确保服务器的正常运作，必须允许本地回环接口的连接。

iptables -A INPUT -i lo -j ACCEPT

四、允许已有连接和相关连接

为了确保现有的连接和相关连接不被中断，我们需要添加以下规则：

iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

五、保存 iptables 规则

设置完这些规则后，需要保存它们以确保在服务器重启后依然有效。

CentOS / RHEL

service iptables save

Ubuntu / Debian

iptables-save > /etc/iptables/rules.v4

六、实战案例

假设你有一台服务器，其 IP 地址为 203.0.113.1。你希望只允许 IP 地址 192.168.1.100 的计算机通过 SSH 连接到这台服务器，并且设置好 iptables 规则使其生效。以下是完整的 Shell 脚本示例：

#!/bin/bash
# 默认拒绝所有连接
iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT ACCEPT

# 允许特定来源 IP 的连接
ALLOWED_IP="192.168.1.100"
iptables -A INPUT -s $ALLOWED_IP -j ACCEPT

# 允许本地回环接口连接
iptables -A INPUT -i lo -j ACCEPT

# 允许已有连接和相关连接
iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

# 保存规则
if [ -f /etc/redhat-release ]; then
  service iptables save
elif [ -f /etc/debian_version ]; then
  iptables-save > /etc/iptables/rules.v4
else
  echo "Unknown distribution. Please save the iptables rules manually."
fi

echo "iptables rules have been configured and saved."

将上述脚本保存为 setup_iptables.sh，并赋予执行权限：

chmod +x setup_iptables.sh

然后运行脚本：

./setup_iptables.sh

七、总结

通过本文介绍的方法，你可以有效地使用 iptables 限制 SSH 连接，只允许特定的 IP 地址访问你的服务器。此举能够显著提高服务器的安全性，防止未经授权的访问。希望本文能够帮助你更好地保护你的服务器安全。