iptables链的默认策略是什么

iptables 的默认策略其实并不是一成不变的，不同链的默认行为各有侧重。很多人刚接触时容易搞混，今天就一次性说清楚。

先看 INPUT 链——这是入站流量的第一道关卡。默认策略通常是 DROP，也就是“没有明确允许，一律拒绝”。这很符合安全直觉：只放行你明确认可的数据包，其他的直接丢弃。

OUTPUT 链则相反，默认策略是 ACCEPT。毕竟本机主动发出的流量，正常情况下没什么理由要拦，所以默认放行，只有需要限制出站时才去配置规则。

FORWARD 链同样默认 DROP，因为路由器或网关上的转发流量通常需要严格控制——你不希望随便什么包都能穿过你的内网边界。

至于 PREROUTING 和 POSTROUTING 链，它们的职责是修改数据包（比如做 DNAT 或 SNAT），默认策略都是 ACCEPT。这意味着如果没有匹配的规则，数据包就继续按正常路由流程走，不会多此一举去修改。

当然，这些默认策略完全可以根据实际安全需求来调整。比如你希望更严格地管控网络流量，就可以把 INPUT 和 FORWARD 的默认策略设为 DROP，然后只添加必要的放行规则。反过来，如果你只是临时测试，也可以先放宽默认策略，再逐步收紧。关键在于理解每个链的角色，然后按需配置。