服务器端如何通过 IPtables 防止被恶意端口扫描与探测

无论你是购买 VPS 自建极客代理节点，还是部署个人私有云，只要你的服务器拥有一个暴露在互联网上的公网 IP，在机器开机后的短短几分钟内，就会迎来全球各种“僵尸爬虫”的持续恶意扫描。

1. 无差别探测的危害

黑客和爬虫机构在全天候运行批量自动化工具（如 Masscan 或 Zmap），寻找所有开放了 22 (SSH 端口) 或常见代理默认端口的服务器。

• 如果你的 代理工具未加固或配置出错，它们可能瞬间被识别并记录到某些黑名单池中。
• 更严重的是，通过简单的字典爆破，弱密码登录的 VPS 一旦被攻陷，不仅会变成发垃圾邮件的肉鸡，甚至你的云服务器账单会在一夜间因耗尽流量而爆炸。

2. 构建 IPtables 防护网

在任何 VPS 上线并开启代理进程之前，务必先锁死城门。 最基本的安全实践是遵循**“白名单”**模式：默认丢弃一切外来请求，仅允许已知安全的交互。

# 清空原有规则
iptables -F

# 1. 允许已经建立的合法回程数据包进入（非常关键，否则机器连不上网）
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

# 2. 允许本机内的环回数据流
iptables -A INPUT -i lo -j ACCEPT

# 3. 极其谨慎地放行被修改过的高位 SSH 端口（切勿使用默认的22端口）
iptables -A INPUT -p tcp --dport 55522 -j ACCEPT

# 4. 放行你专属的代理工具加密连接端口（如 443）
iptables -A INPUT -p tcp --dport 443 -j ACCEPT

# 5. 封死其他所有不请自来的连接（将默认策略设为 DROP）
iptables -P INPUT DROP

3. 防主动扫描的高阶伪装

对于极为严苛的安全环境，即使只放行了特定的端口，如果任何人一敲门就能收到协议反馈，依然是一种“暴露”。 现代协议（如 XTLS REALITY）就是专门为了对付这种嗅探而生的。即便恶意扫描器准确命中了你的 443 端口，您的节点也不会返回任何关于代理的信息，而是冷漠地抛出一份指向苹果或微软官网的证书，让扫描器确信这是一台正常且无懈可击的大厂前置机。

---

参考资料与相关阅读

• Netfilter/iptables 官方基础教程
• 相关阅读：防范主动探测技术：DPI 是如何穿透防御的？