| 加固项 | 默认拒绝姿态 |
|---|---|
| 适用平台 | Linux（iptables/iptables-nft） |
| 风险等级 | 高 |
| 基线 | INPUT 与 FORWARD 默认 DROP；OUTPUT 按组织策略 |
安全实施顺序（带兜底回滚）
安全实施顺序（带兜底回滚）
iptables -S | head -30 # 现状
(echo 'iptables -P INPUT ACCEPT; iptables -P FORWARD ACCEPT' | at now + 10 minutes) 2>/dev/null # 兜底
iptables -A INPUT -i lo -j ACCEPT
iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -p tcp -s 10.20.0.0/16 --dport 22 -j ACCEPT
iptables -P INPUT DROP
iptables -P FORWARD DROP云主机失去 SSH 后恢复只能靠控制台：操作前确认带外通道可用，并保留第二个活跃会话。