iptables规则优化实践

iptables规则优化实践：
（1）安全放行所有入站和出站的状态为ESTABLISHED状态连接,建议放在第一条，效率更高
（2）谨慎放行入站的新请求
（3）有特殊目的限制访问功能，要在放行规则之前加以拒绝
（4）同类规则（访问同一应用，比如：http ），匹配范围小的放在前面，用于特殊处理
（5）不同类的规则（访问不同应用，一个是http，另一个是mysql ），匹配范围大的放在前面，效率更高

• -s 10.0.0.6 -p tcp --dport 3306 -j REJECT
• -s 172.16.0.0/16 -p tcp --dport 80 -j REJECT

（6）应该将那些可由一条规则能够描述的多个规则合并为一条,减少规则数量,提高检查效率
（7）设置默认策略，建议白名单（只放行特定连接）

• iptables -P，不建议，容易出现“自杀现象”
• 规则的最后定义规则做为默认策略，推荐使用，放在最后一条