iptables怎样阻止恶意IP地址

处理恶意IP的攻击，算是运维日常里最基础也最刚需的操作了。用iptables来拦截，简单高效，而且几乎任何Linux发行版都自带。下面就把常用的几条命令和操作思路捋一遍，步骤很直接，跟着做就能用起来。

1. 阻止单个IP地址

如果只是盯上了一个具体的“坏家伙”，一条命令就能搞定：

sudo iptables -A INPUT -s <恶意IP地址> -j DROP

比如要封掉 192.168.1.100，就这样写：

sudo iptables -A INPUT -s 192.168.1.100 -j DROP

2. 阻止IP地址范围

如果攻击者用的是整个网段，直接用CIDR表示法，不用一条条加。例如要封掉 192.168.1.0/24 这个C段：

sudo iptables -A INPUT -m iprange --src-range 192.168.1.0-192.168.1.255 -j DROP

3. 阻止多个IP地址

多个分散的IP，那就多写几条规则，一条一个 -A：

sudo iptables -A INPUT -s 192.168.1.100 -j DROP
sudo iptables -A INPUT -s 192.168.1.101 -j DROP
sudo iptables -A INPUT -s 192.168.1.102 -j DROP

4. 阻止特定端口

有些攻击只针对特定服务（比如Web），可以同时限制源IP和目的端口。比如封掉 192.168.1.100 对80和443的访问：

sudo iptables -A INPUT -s 192.168.1.100 -p tcp --dport 80 -j DROP
sudo iptables -A INPUT -s 192.168.1.100 -p tcp --dport 443 -j DROP

5. 保存iptables规则

这里有个容易踩的坑：iptables规则默认是内存里跑的，重启机器就没了。所以配置完了千万别忘了保存。不同发行版方法不一样，常见的有：

Debian/Ubuntu

sudo iptables-sa ve > /etc/iptables/rules.v4

CentOS/RHEL

sudo service iptables sa ve

或者：

sudo systemctl sa ve iptables

6. 查看iptables规则

想确认规则是否生效，用这个命令看详情：

sudo iptables -L -v -n

注意事项

• 动手前先把现有规则备份一份，万一封错了还能快速恢复。
• 封IP时要格外谨慎，别误伤正常用户的访问。
• 威胁是动态的，建议定期检查并更新规则，别让旧配置变成摆设。

上面这几步基本覆盖了日常拦截恶意IP的常用场景。操作起来不难，重点在于养成“配置完就保存”的习惯，以及始终留好回退方案。系统的安全防线，往往就是从这样一条条的规则里慢慢垒起来的。