Linux系统使用iptables配置入站端口

在Linux系统中，使用iptables配置入站端口（即允许外部流量通过特定端口进入服务器）是一个常见的安全和网络配置任务。以下是一个基本的步骤指南，用于通过iptables配置入站端口。

1. 查看当前iptables规则

在添加新规则之前，首先查看当前的iptables规则是个好习惯，以确保你不会意外地覆盖或冲突现有的规则。

sudo iptables -L

2. 添加入站端口规则

假设你想要允许外部流量通过TCP协议的3389端口（xrdp服务常用的端口）进入服务器，你可以使用以下命令添加一条规则到INPUT链中。

sudo iptables -A INPUT -p tcp --dport 3389 -j ACCEPT

这条命令的含义是：在INPUT链的末尾追加（-A）一条规则，该规则匹配所有目标端口（–dport）为3389的TCP（-p tcp）数据包，并将这些数据包接受（-j ACCEPT）。

3. 允许相关和必需的端口

除了xrdp使用的3389端口外，你可能还需要允许其他端口（如SSH的22端口）的入站连接。只需为每个端口重复上述步骤即可。

4. 允许已建立的连接

为了保持通信的连续性，通常还需要允许已建立的连接（如响应出站连接的入站响应）通过防火墙。这可以通过添加一条规则来允许所有与已建立连接相关的入站流量来实现。

sudo iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

这条规则应该放在所有拒绝（DROP）或拒绝所有（REJECT）规则之前，以确保不会意外地阻断已建立的连接。

5. 保存iptables规则

更改iptables规则后，你需要确保这些更改在系统重启后仍然有效。根据你的Linux发行版，保存iptables规则的方法可能有所不同。对于使用Systemd的系统，你可能需要创建一个自定义的systemd服务或使用iptables-persistent包（如果可用）。对于其他系统，你可能需要将规则导出到一个文件中，并在启动时通过脚本应用这些规则。

示例：使用iptables-save和iptables-restore保存和恢复规则

# 保存规则
sudo iptables-save > /etc/iptables/rules.v4

# 恢复规则（你可能需要在启动时通过cron job、systemd服务或其他机制自动执行此命令）
sudo iptables-restore < /etc/iptables/rules.v4

6. 验证规则

最后，验证你的iptables规则是否按预期工作。你可以通过尝试从外部访问允许的端口来测试这一点，或者使用iptables命令的-L选项来再次检查规则列表。

请记住，更改iptables规则可能会对系统的安全性和网络连接性产生重大影响。在做出任何更改之前，请确保你了解每项更改的含义，并考虑在测试环境中进行更改以验证其效果。