在当今数字化环境中，网络安全防护已成为系统运维的核心课题。防火墙作为网络边界的第一道防线，通过IP地址过滤机制实现对远程访问的动态管控。根据统计，超过68%的网络攻击源自特定地理区域的IP地址集群，因此掌握防火墙的IP禁止技术至关重要。本文将系统阐述通过主流防火墙工具快速封禁危险IP的操作方案，涵盖传统iptables与现代firewalld两种主流技术路径，并给出可立即落地的安全实践。
iptables：经典防火墙的IP封禁方案
作为Linux系统最成熟的防火墙工具，iptables通过链式规则实现精细化的流量控制。封禁特定IP需在FILTER表的INPUT链添加丢弃规则：
- 临时封禁单一IP：
iptables -A INPUT -s 192.168.1.100 -j DROP - 禁止整个网段：
iptables -A INPUT -s 192.168.1.0/24 -j DROP - 允许特定IP访问SSH：
iptables -A INPUT -s 203.0.113.5 -p tcp --dport 22 -j ACCEPT
注意：使用
-I参数可将规则插入链首，确保优先匹配。配置完成后务必执行service iptables save持久化规则。
firewalld：现代化动态防火墙管理
Systemd生态下的firewalld支持运行时动态更新规则，通过富规则(Rich Rules)实现复杂过滤逻辑：
| 操作类型 | 命令示例 | 适用场景 |
|---|---|---|
| 立即封禁IP | firewall-cmd –add-rich-rule=’rule family=ipv4 source address=192.168.1.100 reject’ –timeout=300s | 临时封禁5分钟 |
| 永久封禁网段 | firewall-cmd –permanent –add-rich-rule=’rule family=ipv4 source address=192.168.2.0/24 drop’ | 永久禁止恶意网段 |
| 放行特定服务 | firewall-cmd –permanent –add-rich-rule=’rule family=ipv4 source address=203.0.113.10 service name=ssh accept’ | 允许可信IP访问SSH |
配置完成后需执行firewall-cmd --reload激活永久规则，通过firewall-cmd --list-rich-rules验证配置。
自动化封禁与监控实践
结合Fail2ban工具可实现攻击IP的自动识别与封禁：
- 安装配置：
yum install fail2ban或apt install fail2ban - 创建SSH防护配置
/etc/fail2ban/jail.local：
[sshd] enabled = true port = ssh filter = sshd logpath = /var/log/secure maxretry = 3 bantime = 3600
当同一IP在5分钟内触发3次SSH登录失败，系统将自动封禁该IP1小时。此方案可有效抵御暴力破解攻击，降低运维人力成本。
安全策略最佳实践
为确保IP封禁操作既安全又便捷，建议遵循以下原则：
- 白名单优先：生产环境应默认拒绝所有连接，仅放行可信IP段
- 分层防护：在网络层防火墙基础上，结合应用层WAF形成纵深防御
- 日志审计：定期分析
/var/log/secure与/var/log/firewalld识别攻击模式 - 临时封禁：对可疑IP先设置短期封禁，确认威胁后转为永久规则
通过上述方案组合，可在3分钟内完成对威胁IP的快速响应，同时避免误封正常用户访问。建议每月更新IP黑名单，并与云端安全情报联动，持续优化防护效果。
内容均以整理官方公开资料，价格可能随活动调整，请以购买页面显示为准，如涉侵权，请联系客服处理。
本文由星速云发布。发布者：星速云。禁止采集与转载行为，违者必究。出处：https://www.67wa.com/78419.html
