| 加固项 | 默认拒绝与状态跟踪 |
|---|---|
| 适用平台 | Linux（iptables/nft 兼容层） |
| 风险等级 | 高 |
| 基线 | INPUT/FORWARD 默认 DROP |
基线骨架（配合 iptables-apply 或带外通道执行）
基线骨架（配合 iptables-apply 或带外通道执行）
iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT ACCEPT
iptables -A INPUT -i lo -j ACCEPT
iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -p tcp --dport 22 -j ACCEPT
iptables -A INPUT -p tcp --dport 443 -j ACCEPT
iptables -A INPUT -m limit --limit 10/min -j LOG --log-prefix 'IPT-DROP: '
iptables -A INPUT -j DROPFORWARD 默认 DROP 会影响容器与路由转发场景：先确认本机职责（是否跑 Docker、是否做网关）再执行。