规则为什么要写注释
每条防火墙规则都应有名称、用途、责任人与复核到期时间，这是可维护性的底线。没有注释的规则集，几个月后就没人敢删了，结果只能不断追加新规则，访问面越滚越大。注释的作用是把“这条规则为什么存在、谁负责、什么时候复核”写进配置本身，而不是停留在某个人的记忆里。
基本信息
| 加固项 | 规则文档化 |
|---|---|
| 适用平台 | iptables、firewalld、Windows 防火墙、云安全组 |
| 记录内容 | 用途、来源、责任人、复核日期 |
| 实现方式 | iptables 注释模块、Windows 规则描述、云侧名称字段 |
| 复核周期 | 按组织要求，常见为半年 |
| 风险等级 | 低 |
典型使用场景
- 规则清理：按注释里的到期日期批量识别可以回收的规则
- 复盘与审计：快速说清每条规则的存在理由
- 人员交接：新人能从注释判断规则能否删除
- 临时放行：把到期时间直接写进注释，避免临时措施永久化
- 变更评审：评审时能看清规则的影响范围与责任人
各平台注释写法
各平台注释写法
# iptables：用注释模块写清用途、责任人与复核时间
iptables -A INPUT -p tcp --dport 8443 -s 10.0.0.0/8 -m comment --comment 'admin-api from office, owner=ops, review=2027Q1' -j ACCEPT
# firewalld：rich rule 没有独立注释字段，用规则本身讲清来源与用途
firewall-cmd --permanent --add-rich-rule='rule family=ipv4 source address=10.0.0.0/8 port port=8443 protocol=tcp accept'
# Windows 防火墙：显示名与描述一起写，便于统一下发
New-NetFirewallRule -DisplayName 'App-8443-Inbound' -Description 'admin api, owner=ops, review=2027-01' -Direction Inbound -Action Allow -Protocol TCP -LocalPort 8443 -RemoteAddress 10.0.0.0/8各平台注释方式
| 平台 | 注释方式 | 注意事项 |
|---|---|---|
| iptables | 注释模块的 comment 参数 | 长度有限，写清用途与到期，建议用英文 |
| firewalld | 无独立注释字段 | 靠 rich rule 表述来源与用途，配合命名规范 |
| Windows 防火墙 | 规则的显示名与描述 | 域环境用 GPO 下发便于统一 |
| 云安全组 | 规则名称与描述字段 | 与工单号关联，便于回溯来源 |
注释里带上复核到期时间，定期巡检时就能按日期批量识别该回收的规则。
跨平台脚本建议统一用英文注释，部分较老的 iptables 与内核输出中文时会出现乱码。
注释不参与匹配语义：规则是否生效仍取决于链序与匹配条件，注释只是文档，不是控制手段。