| 加固项 | 防火墙变更防护 |
|---|---|
| 适用平台 | Linux（Debian/Ubuntu 等自带；其他发行版可复制脚本） |
| 风险等级 | 中 |
| 机制 | 应用→限时确认→超时回滚 |
备份与安全应用
备份与安全应用
iptables-save > /root/rules.bak.v4
iptables-apply -t 30 /root/rules.new.v4
# 30 秒内用第二个会话验证 SSH/业务端口；不确认则自动恢复备份回滚只保护“忘记确认”的场景：你确认了错误的规则集，照样会被锁在外面——验证步骤不能省。
本包目录（363 条）
主机加固基线90 条
防火墙与访问控制50 条
- iptables 最小基线规则集（白名单模型）
- 0.0.0.0/0 高危端口专项核查
- ufw 与 Docker 端口绕过（DOCKER-USER 链）
- Windows 防火墙启用并默认阻止入站
- Windows 防火墙三档案状态核查
- iptables 默认策略（安全顺序与自锁防护）
- 云安全组入方向最小化原则
- firewalld 状态与区域概览
- ufw 状态与默认策略（Ubuntu/Debian）
- 防火墙变更流程（备份-灰度-验证-回滚）
- firewalld 放行服务与端口（permanent+reload 流程）
- 堡垒机/跳板机收敛管理面
- firewalld 富规则（源限定与限速）
- iptables 规则查看（-S 与计数器）
- fail2ban 自动封禁（与防火墙后端联动）
- PowerShell 精细化规则（New-NetFirewallRule）
- 防火墙自锁后的自救路径
- firewalld 默认区域收敛（drop 基座）
- ufw 规则增删改查（含按编号删除）
- IPv6 防火墙同步收敛
- 应急封禁与解封（疑似入侵时的边界动作）
- firewalld 源地址绑区（管理网白名单）
- iptables recent 模块限制 SSH 爆破
- netsh 防火墙规则增删查
- 暴露面自查（外网视角验证）
- iptables 规则持久化（重启不丢）
- 出方向限制（egress 白名单）
- 安全组与主机防火墙的双层模型
- VPN 收敛管理入口
- 白名单设计方法（资产×端口×来源矩阵）
- Windows 防火墙导出/导入与 GPO 统一下发
- nftables 基础与持久化（RHEL 9+/Debian 11+ 默认）
- firewalld 拒绝日志（审计闭环）
- iptables-apply 安全应用（自动回滚）
- ufw 限速放行与日志留存
- 连接数与扫描缓解（connlimit + 畸形包过滤）
- 安全组规则导出评审与定期复核
- ipset 大规模 IP 封禁（黑名单万级条目）
- 隧道与端口转发行为审计
- ufw 应用 Profile（按内置模板放行）
- Windows 防火墙日志启用与判读
- 防火墙规则定期复核与死规则清理
- 企业出口统一代理与出网白名单
- VPC 网络 ACL / 子网级补充控制
- 管理端口非标化与访问收敛的取舍
- 规则命名与注释规范（可审计性）
- 端口敲门/单包授权（SPA）隐藏管理端口
- SYN 泛洪基础防护（synproxy 与内核参数配合）
- DROP/REJECT 选择与拒绝日志策略
- 地域封禁与 IP 信誉（按需启用的减噪手段）
iptables-apply 安全应用（自动回滚）
iptables-apply 应用新规则后要求限时确认，超时自动回滚——防火墙变更防自锁的标准做法（Debian 系自带）。
易错点
- 规则文件必须是 iptables-save 完整格式：手工拼的片段 restore 会失败
- 远程操作时保持原会话：新会话验证通过再退出旧会话，这是远程防火墙操作的一般纪律
数据来源与参考
- iptables-apply(8) 手册（Debian）
- NIST SP 800-41：防火墙与策略指南（变更流程思路）