Debian如何配置Node.js防火墙规则

在Debian上给Node.js应用配置防火墙，听起来挺技术，其实核心就两件事：选一个顺手的工具，然后开放该开的端口。目前主流方案无非是iptables和ufw——前者是底层王牌，后者则是基于前者封装的“懒人包”。下面把两种路数都走一遍，你按习惯挑就行。

用 iptables 搞定

先确认系统有没有装iptables，没有的话补一个：

sudo apt update
sudo apt install iptables

假设你的Node.js应用跑在默认的HTTP（80）和HTTPS（443）端口，那就放开这两个口子：

sudo iptables -A INPUT -p tcp --dport 80 -j ACCEPT
sudo iptables -A INPUT -p tcp --dport 443 -j ACCEPT

注意了，Debian不会自动保存iptables规则，你得手动存一下，否则重启就清零：

sudo sh -c "iptables-sa ve > /etc/iptables/rules.v4"

还没完——还要让它开机自动加载。创建一个脚本：

sudo nano /etc/network/if-pre-up.d/iptables

写入下面这行内容：

#!/bin/sh
/sbin/iptables-restore < /etc/iptables/rules.v4

最后给脚本加上执行权限：

sudo chmod +x /etc/network/if-pre-up.d/iptables

用 ufw 简化

如果你不想跟原始规则打交道，ufw绝对是更舒服的选择。同样先安装：

sudo apt update
sudo apt install ufw

启用防火墙：

sudo ufw enable

然后放开80和443：

sudo ufw allow 80/tcp
sudo ufw allow 443/tcp

检查一下状态，确认规则生效：

sudo ufw status

还可以设置默认策略——比如默认拒绝入站、允许出站，这样更安全：

sudo ufw default deny incoming
sudo ufw default allow outgoing

验证一下

不管用哪套方案，最后一定要从外部网络试着访问你的Node.js应用。能通，说明规则写对了；不通，就回头检查端口和防火墙状态。别指望直觉，眼见为实。

几点提醒

• 安全第一：防火墙规则别放得太松，只开必要的端口，其他一概关掉。
• 备份习惯：改规则前，把当前规则备份一份，万一改错了还有后悔药。
• 先测试后上线：生产环境别直接动手，用测试机走一遍流程，确保不会把服务搞断。

把上面这些步骤走下来，Debian上的Node.js防火墙配置就算妥妥的了。