紧急熔断需在INPUT链首位插入DROP规则，如sudo iptables -I INPUT 1 -s 192.168.1.105 -j DROP，确保即时生效、位置靠前、可快速删除，切勿设默认DROP策略以防自锁。
直接在 INPUT 链最前面加一条 DROP 规则，就能立刻阻断目标主机所有入向连接，实现“紧急熔断”。关键不是用什么命令，而是确保规则位置绝对靠前、生效即时、可快速撤销。
一、确认目标IP并验证当前INPUT链结构
先明确要隔离的染毒主机IP（比如 192.168.1.105），再查看当前 INPUT 链规则顺序，避免误插到已有 ACCEPT 规则之后：
- 运行
sudo iptables -L INPUT -n --line-numbers - 重点关注第1行是否已是严格策略（如默认
DROP）；若第1行是宽松规则（如允许所有SSH或已放行内网），就必须插在第1位
二、在INPUT链第1位插入DROP规则
使用 -I INPUT 1 强制插入到首位，匹配源IP并立即丢弃：
Linux Security Scanner
下载
Linux 安全审计工具，检查 SSH 配置、开放/监听端口、防火墙规则（ufw/iptables/nftables）、失败登录尝试、sudoers 权限...
sudo iptables -I INPUT 1 -s 192.168.1.105 -j DROP- 这条规则会拦截该IP发往本机的所有入站数据包（包括SSH、HTTP、ICMP等），且因位置最前，不受后续 ACCEPT 规则影响
- 无需重启服务或重载配置，立即生效
三、添加带注释的规则（便于识别和管理）
生产环境建议加上明确注释，方便后续排查或批量操作：
sudo iptables -I INPUT 1 -s 192.168.1.105 -m comment --comment "EMERGENCY-CUTOFF: malware-host-20240520" -j DROP- 注释内容会被保留，用
iptables -L INPUT -n --line-numbers可直观看到
四、快速恢复与持久化注意事项
熔断是临时响应措施，需配套应急流程：
- 临时解除：查出规则编号（如第3行），执行
sudo iptables -D INPUT 3删除 - 若需重启后仍生效，必须保存规则：
sudo iptables-save > /etc/iptables/rules.v4（Debian/Ubuntu）或sudo service iptables save（CentOS 6），CentOS 7+/RHEL 8+ 默认用 nftables，需转换或改用 firewalld - 切勿依赖
iptables -P INPUT DROP作为熔断手段——这会锁死自己，尤其远程管理时风险极高
