白名单真正生效的关键在于控制匹配顺序并堵住默认通路，而非单纯添加允许规则；iptables中需用-I插入首条规则，firewalld须用rich rule精确限定IP+端口，且必须优先于安全组、服务绑定地址等各层配置。
直接生效、不锁死自己连接的白名单，核心不是“加允许”，而是“控制匹配顺序+堵住默认通路”。
iptables里加白名单，为什么加了却连不上？
因为规则是按顺序匹配的，一旦遇到 DROP 或 REJECT 就终止，后面再 ACCEPT 也没用。很多人执行 iptables -A INPUT ... -j ACCEPT，结果规则被插在默认 DROP 后面，等于没写。
- 先查顺序：
iptables -nL INPUT --line-numbers，看默认策略（POLICY DROP还是ACCEPT）和已有规则位置 - 若默认是
ACCEPT，必须补一条显式DROP收尾，否则白名单形同虚设：iptables -A INPUT -j DROP - 真正生效的白名单规则，要用
-I INPUT 1插到最前面（比如只放行 192.168.1.100 的 22 端口）：iptables -I INPUT 1 -p tcp --dport 22 -s 192.168.1.100 -j ACCEPT - 别忘了保存：CentOS/RHEL 执行
service iptables save；Ubuntu/Debian 写入iptables-save > /etc/iptables/rules.v4
firewalld富规则（rich rule）只放行某IP+某端口，怎么写才不被绕过？
firewalld 没有传统“白名单”概念，--add-source 只是把 IP 划进 zone，而 public zone 默认开 SSH、DHCPv6 等服务——你加了 firewall-cmd --add-source=192.168.1.100，结果所有端口都通了，就是这个原因。
Zynq Linux Hardware Debug
下载
Zynq‑7000 / Zynq UltraScale+ 硬件调试技能。适用于 Xilinx Zynq（Cortex‑A9/A53 + FPGA）Linux 环境，调试 I2C、I2S、UART、GPIO 等外设。包括设备树配置、内核驱动、用户空间调试工具、交叉编译和常见问题排查，支持 PetaLinux 开发。
- 真要精确控制，必须用 rich rule，且带
port和protocol：firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="192.168.1.100" port port="3306" protocol="tcp" accept' - 如果之前用
--add-port=3306/tcp全局开放过，得先删掉：firewall-cmd --permanent --remove-port=3306/tcp，否则 rich rule 会被跳过 - 加完必须重载：
firewall-cmd --reload，否则不生效 - 验证是否生效：
firewall-cmd --list-all能看到 rich rules，但注意它不会显示在--list-ports里
/etc/hosts.allow 和 /etc/hosts.deny 能限制 SSH 白名单吗？
能，但只对使用 libwrap（tcp_wrappers）的服务有效，比如老版本 OpenSSH，默认启用；新版（如 Ubuntu 22.04+、RHEL 9+）多数已禁用，改用 systemd socket 或直接走防火墙，这时改这两个文件完全无效。
- 确认是否启用：
sshd -T | grep use_pam，如果输出use_pam yes，还要看/etc/pam.d/sshd是否加载了pam_access.so - 若可用，只允许 192.168.1.100 登录：
echo "sshd: 192.168.1.100" >> /etc/hosts.allow，再禁止其余：echo "sshd: ALL" >> /etc/hosts.deny - 该机制不校验端口、协议或用户，只管源 IP，且优先级上
hosts.allow高于hosts.deny - 修改后无需重启 sshd，但建议测试时留一个本地终端，避免远程断连
云服务器上配白名单，为什么本地测试通，线上还是连不上？
因为云平台（阿里云、腾讯云、AWS）的安全组在防火墙外层，iptables/firewalld 规则根本没机会执行——流量早被安全组拦下了。
- 先确认安全组是否放行目标端口（如 22、3306）和源 IP 段，这是第一道关卡
- 再检查系统防火墙（
systemctl status iptables或systemctl status firewalld）是否运行中；有些云镜像默认关闭防火墙，你白配半天 - 最后确认服务监听地址：MySQL 默认绑
127.0.0.1，即使白名单开了也连不上外网；查netstat -tlnp | grep :3306，确保是*:3306或0.0.0.0:3306 - 如果用了 NAT 或反向代理（如 Nginx），白名单还得落在代理层，比如 Ingress 的
nginx.ingress.kubernetes.io/whitelist-source-range注解
白名单真正起效的关键，从来不是“写了哪条命令”，而是“在哪一层拦截、谁先匹配、谁后放行”。漏掉安全组、搞错规则顺序、忽略服务绑定地址，任何一个环节出问题，都会让你反复怀疑命令是不是写错了。
