如何使用防火墙临时白名单加固？
美国、香港服务器
如何使用防火墙临时白名单加固？
06-22 来源:
方案一：firewalld 临时白名单加固（CentOS7 最常用，推荐）
1. 先备份当前防火墙规则（防止配置出错可回滚）
bash
运行
# 备份规则到文件
firewall-cmd --list-all > /tmp/firewall_bak.txt
2. 临时放行你的运维公网 IP（关键第一步，避免断连）
bash
运行
# 替换为你的公网IP，放行SSH（你的SSH端口）
firewall-cmd --add-rich-rule="rule family="ipv4" source address="112.123.45.67/32" port protocol="tcp" port="22" accept"
# 网站业务放行80、443（如果需要对外正常提供网页访问可保留，纯排查可先不放）
firewall-cmd --add-rich-rule="rule family="ipv4" source address="112.123.45.67/32" port protocol="tcp" port="80" accept"
firewall-cmd --add-rich-rule="rule family="ipv4" source address="112.123.45.67/32" port protocol="tcp" port="443" accept"
3. 删除全网开放的宽松端口规则（阻断攻击者）
bash
运行
# 删除之前所有全网放行的端口
firewall-cmd --remove-port=22/tcp
firewall-cmd --remove-port=80/tcp
firewall-cmd --remove-port=443/tcp
firewall-cmd --remove-port=8888/tcp
4. 设置默认拒绝所有入站流量（临时应急阻断攻击）
bash
运行
# 设置默认区域入站全部拒绝
firewall-cmd --set-default-zone=drop
配置后：只有你白名单里的 IP 能访问服务器所有端口，其他所有 IP 全部被拦截，立刻终止暴力扫描、CC、挖矿外联攻击。
5. 带超时自动失效的临时规则（运维排查推荐）
可以设置规则24小时后自动恢复防火墙默认配置，不用手动改回来，示例 24 小时（86400 秒）：
bash
运行
firewall-cmd --add-rich-rule="rule family="ipv4" source address="112.123.45.67/32" port protocol="tcp" port="22" accept" --timeout=86400
firewall-cmd --set-default-zone=drop --timeout=86400
常用查看 / 恢复命令
bash
运行
# 查看当前所有临时白名单规则
firewall-cmd --list-rich-rules
# 应急一键恢复防火墙原有配置（从备份回滚）
firewall-cmd --reload
方案二：iptables 全局临时白名单加固（通用所有 Linux）
1. 先放行本机回环、已建立连接、你的运维 IP
bash
运行
# 清空原有所有规则
iptables -F
iptables -X
# 允许本地内部通信（必须，否则系统异常）
iptables -A INPUT -i lo -j ACCEPT
# 允许已经建立的SSH连接不断开
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
# 放行你的公网IP所有访问权限
iptables -A INPUT -s 112.123.45.67/32 -j ACCEPT
2. 默认拒绝所有外部入站流量
bash
运行
iptables -P INPUT DROP
iptables -P FORWARD DROP
# 服务器主动对外出站允许（防止无法下载工具、联网排查）
iptables -P OUTPUT ACCEPT
3. 额外封禁挖矿常用外联端口（防止木马回传算力）
bash
运行
# 禁止服务器主动向外访问挖矿常见端口
iptables -A OUTPUT -p tcp --dport 3333:5555 -j DROP
iptables -A OUTPUT -p tcp --dport 13332:14444 -j DROP
iptables -A OUTPUT -p tcp --dport 14445:15000 -j DROP
注意：iptables 临时规则重启服务器自动清空，非常适合攻击应急临时加固，排查处理完重启服务器即可恢复原有网络策略。
三二互联专业提供香港VPS,美国VPS主机,香港云服务器租用等业务香港美国到大陆CN2 GIA速度最快
