非托管型专用服务器防火墙设置与SSH安全

非托管型专用服务器的防火墙设置 这是部署 Linux 服务器后首要处理的任务之一。如果没有合理的网络规则，暴露在外的服务可能会招致自动扫描、密码攻击和不需要的连接。然而，如果防火墙配置错误，也可能导致管理员无法连接到服务器。

本指南介绍了谨慎的 nftables 工作流程、SSH 安全加固、端口审计，以及在购买非托管型专用主机前值得了解的恢复功能。

为什么非托管型专用服务器需要主机防火墙

非托管主机服务通常将操作系统安全和服务配置交由客户自行负责。服务商可能会保护其上游网络，但这并不意味着会自动限制对您的 SSH 守护进程、数据库或管理控制面板的连接。

主机防火墙在操作系统层面限制允许通过的流量。它是对应用程序身份验证、补丁更新以及服务提供商端的网络控制措施的补充，而非替代。

从我们的 非托管服务器安全检查清单 审查更广泛的部署职责。

在修改 nftables 之前：防止 SSH 被锁定

记录下当前的 SSH 端口和管理员 IP 地址。在测试第二条连接时，请保持现有 SSH 会话处于打开状态。确认您的主机服务商是否提供可用的远程控制台、紧急恢复环境或有文档记录的恢复流程。

在应用不熟悉的规则之前，请安排自动回滚。在运行 systemd 的系统上，如果无法访问系统，一个临时回滚任务可以恢复已知有效的规则集。请先在安全环境中测试回滚机制。

同时检查现有的防火墙管理机制。如果 firewld 或其他工具管理着 nftables 规则，请使用其支持的接口，而不是安装会产生冲突的独立配置。

构建“默认拒绝”型 nftables 策略

对于独立的Web服务器，采用“默认拒绝”的入站策略可以允许已建立的连接、回环流量、来自可信地址的SSH连接以及公共HTTP/HTTPS流量。在了解应用程序的依赖关系后，可以单独引入出站过滤机制。

IPv4 和 IPv6 规则集示例

以下示例中使用了一个示例性的管理员地址。请在部署前将其替换为您实际的可信 IP 地址，并验证您的 SSH 端口：

table inet filter {
  chain input {
    type filter hook input priority 0; policy drop;
    iif "lo" accept
    ct state established,related accept
    ct state invalid drop
    ip saddr 198.51.100.10 tcp dport 22 允许
    tcp dport { 80, 443 } 允许
    ip protocol icmp 允许
    ip6 nexthdr ipv6-icmp 允许
  }
  链 forward {
    类型 过滤 钩子 forward 优先级 0; 策略 丢弃;
  }
  链 output {
    类型 过滤 钩子 output 优先级 0; 策略 接受;
  }
}

文档中提到的地址并非真实的管理员白名单。此外，这个简化示例还需要针对 IPv6 管理、容器网络、VPN、监控以及任何使用转发功能的服务进行调整。请勿盲目将其应用于生产环境。