如何在VPS上屏蔽特定IP地址？

屏蔽方法	适用系统	持久性	复杂度
iptables	Linux	重启后消失	中等
firewalld	CentOS/RHEL	持久化	简单
ufw	Ubuntu/Debian	持久化	简单
hosts.deny	Linux	持久化	简单
Cloud防火墙	所有系统	持久化	简单

如何在VPS上屏蔽IP地址？

在网络管理过程中，有时需要屏蔽特定的IP地址来保护服务器安全或阻止恶意访问。本文将详细介绍在VPS上屏蔽IP地址的多种方法，并提供操作指南和常见问题解决方案。

主要屏蔽方法概览

方法	适用系统	优点	缺点
iptables	Linux	功能强大，灵活性高	配置复杂，重启后规则丢失
firewalld	CentOS/RHEL	配置简单，规则持久化	仅适用于特定发行版
ufw	Ubuntu/Debian	用户友好，易于使用	功能相对有限
hosts.deny	Linux	简单易用，针对服务	仅适用于TCP Wrapper服务

详细操作步骤

方法一：使用iptables屏蔽IP

操作说明： iptables是Linux系统中最常用的防火墙工具，可以精确控制网络流量。 使用工具提示：

• 需要root权限
• 建议先备份现有规则
• 操作前确认IP地址准确性

# 屏蔽单个IP地址
iptables -A INPUT -s 192.168.1.100 -j DROP
屏蔽整个IP段
iptables -A INPUT -s 192.168.1.0/24 -j DROP
查看当前规则
iptables -L INPUT -n --line-numbers
删除特定规则（根据行号）
iptables -D INPUT 3

保存iptables规则：

# Ubuntu/Debian
iptables-save > /etc/iptables/rules.v4
CentOS/RHEL
service iptables save
或
iptables-save > /etc/sysconfig/iptables

方法二：使用firewalld屏蔽IP（CentOS/RHEL）

操作说明： firewalld是CentOS和RHEL系统的默认防火墙管理工具，配置更加简单。 使用工具提示：

• 确保firewalld服务正在运行
• 使用firewall-cmd命令管理规则

# 永久屏蔽单个IP
firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="192.168.1.100" reject'
永久屏蔽IP段
firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="192.168.1.0/24" reject'
重新加载配置
firewall-cmd --reload
查看当前规则
firewall-cmd --list-rich-rules

方法三：使用ufw屏蔽IP（Ubuntu/Debian）

操作说明： ufw（Uncomplicated Firewall）是Ubuntu系统的简化防火墙配置工具。 使用工具提示：

• 需要启用ufw
• 规则立即生效且持久化

# 启用ufw（如果尚未启用）
ufw enable
屏蔽特定IP
ufw deny from 192.168.1.100
屏蔽IP段
ufw deny from 192.168.1.0/24
查看规则状态
ufw status numbered

方法四：使用/etc/hosts.deny文件

操作说明： 通过TCP Wrapper配置文件屏蔽IP，适用于支持该机制的服务。 使用工具提示：

• 仅对使用TCP Wrapper的服务有效
• 修改后立即生效

# 编辑hosts.deny文件
vi /etc/hosts.deny
添加以下内容屏蔽IP
sshd: 192.168.1.100
ALL: 192.168.1.50

常见问题与解决方案

问题	原因	解决方案
屏蔽规则重启后丢失	iptables规则未保存	使用iptables-save命令保存规则，或配置开机自动加载
无法屏蔽特定IP	规则顺序错误或冲突	检查规则顺序，确保屏蔽规则在允许规则之前
屏蔽后自己无法访问	误屏蔽了自己的IP	先添加允许自己IP的规则，再设置默认拒绝策略
屏蔽无效	服务使用不同端口或协议	使用tcpdump监控流量，确认IP地址和端口
影响正常服务	屏蔽范围过大	使用更精确的CIDR表示法，或只屏蔽特定端口

问题一：规则重启后丢失

详细解决方案： 创建持久化脚本来保存iptables规则： ```bash #!/bin/bash

保存为 /etc/rc.local 或使用systemd服务

iptables-restore