Linux云服务器IP白名单配置完全指南

一、为什么需要IP白名单？

IP白名单通过只允许特定IP地址访问服务器，可以有效防止：

• 暴力破解攻击
• DDoS攻击
• 未授权扫描
• 恶意软件传播

最新统计显示，配置了IP白名单的服务器遭受攻击的概率降低83%。

二、三种主流配置方法

方法1：使用iptables防火墙

这是最传统的Linux防火墙解决方案：

# 清空现有规则
iptables -F

# 设置默认策略为拒绝所有
iptables -P INPUT DROP

# 允许本地回环
iptables -A INPUT -i lo -j ACCEPT

# 添加白名单IP（示例：203.0.113.5）
iptables -A INPUT -s 203.0.113.5 -j ACCEPT

# 允许已建立的连接
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

# 保存规则（根据发行版不同）
service iptables save

专业提示： 可以使用ipset管理大量IP地址，提高规则处理效率。

方法2：配置TCP Wrappers

适用于控制特定服务的访问：

1. 编辑/etc/hosts.allow文件：

sshd: 203.0.113.5, 192.168.1.0/24

2. 编辑/etc/hosts.deny文件：

sshd: ALL

这种方法的优点是配置简单，但对所有服务并非都有效。

方法3：云服务商安全组配置

主流云平台都提供安全组功能：

• AWS： 通过EC2控制台配置安全组入站规则
• 阿里云： 使用ECS安全组设置
• 腾讯云： 在CVM实例的安全组中配置

三、高级配置技巧

1. 动态IP处理方案

对于动态IP用户，可以采用：

• DDNS解决方案
• 定期更新脚本
• VPN固定接入点

2. 多因素认证结合

将IP白名单与以下认证方式结合：

1. SSH密钥认证
2. Google Authenticator
3. 证书认证

3. 自动化监控和告警

#!/bin/bash
# 监控非法IP尝试访问
grep "Failed password" /var/log/auth.log | \
awk '{print $11}' | \
sort | uniq -c | \
mail -s "非法登录尝试" admin@example.com

四、常见问题解答

Q：白名单会影响服务器性能吗？

A：合理配置的IP白名单对性能影响可以忽略不计。

Q：如何测试白名单是否生效？

A：使用非白名单IP尝试访问，应该收到连接拒绝的响应。

Q：忘记添加自己的IP怎么办？

A：通过云平台控制台使用VNC连接，或者联系供应商协助恢复访问。