iptables的hashlimit模块通过源IP独立限流、令牌桶机制（3/minute+burst 10）防护管理API，配合ACCEPT后DROP闭环规则及--hashlimit-name命名实现精准防控，兼顾运维可用性与防暴力试探。
用 iptables 的 hashlimit 模块防护管理 API 接口，核心是按源 IP 独立限流、防暴力试探，同时保留合法运维操作空间。它不依赖应用层逻辑，直接在网络层生效，响应快、开销低。
锁定接口与限流维度
管理接口通常走特定端口（如 8443、9001）且需 HTTPS，规则必须精准匹配：
- 用 -p tcp --dport 8443 锁定目标端口，避免影响其他服务
- 限流粒度选 --hashlimit-mode srcip：每个运维 IP 单独计数，防止一个恶意 IP 拖垮全局
- 不建议用 dstport 单独限流，否则无法区分真实攻击源；也不推荐仅靠协议匹配，易被绕过
配置令牌桶参数
管理接口流量特征明显：人工操作频率低、偶有短时批量请求（如发布脚本），需平衡安全与可用性：
- --hashlimit 3/minute：长期允许每分钟 3 次请求，足够日常巡检和单次操作
- --hashlimit-burst 10：允许突发 10 次，覆盖 Jenkins 触发部署、Ansible 批量调用等合理场景
- 示例完整规则：
iptables -A INPUT -p tcp --dport 8443 -m hashlimit \
--hashlimit-name admin-api \
--hashlimit 3/minute \
--hashlimit-burst 10 \
--hashlimit-mode srcip \
-j ACCEPT
闭环防护动作
只放行合规流量还不够，必须阻断超限连接，否则规则形同虚设：
- 在 ACCEPT 规则后立即追加：
iptables -A INPUT -p tcp --dport 8443 -j DROP - 务必指定 --hashlimit-name admin-api：便于通过
cat /proc/net/ipt_hashlimit/admin-api实时查看各 IP 剩余令牌 - 若管理接口只处理新建连接（如 SSH 隧道代理），可加 -m state --state NEW 进一步收紧；但多数 REST 管理 API 需处理全部数据包，不加此参数
- 规则持久化执行：
iptables-save > /etc/sysconfig/iptables（CentOS/RHEL）或netfilter-persistent save（Debian/Ubuntu）
验证与微调建议
上线后重点确认两点：是否真起作用、是否误伤正常操作：
- 用
watch -n1 'cat /proc/net/ipt_hashlimit/admin-api'观察 IP 计数变化 - 本地模拟压测：
for i in {1..15}; do curl -k https://your-api:8443/health; sleep 0.5; done，检查第 11 次起是否开始超时或拒绝 - burst 值低于 5 容易卡住 CI/CD 工具；高于 20 则削弱防护效果，建议从 8 起步，根据日志反馈调整
- 对登录类路径（如
/api/v1/login），可额外叠加 connlimit 限制单 IP 最大并发连接数，防爆破
