默认拒绝所有入站流量是安全设计原则，强制显式放行服务，缩小攻击面；firewalld开箱即用即拒绝，ufw需手动设置，iptables初始为空等效允许，须主动加固。
Linux 防火墙默认拒绝所有入站流量，是安全配置的通用起点，不是 bug，而是设计原则——它强制你“显式放行”，而不是“隐式开放”。
为什么默认拒绝入站更安全
网络攻击绝大多数从外部发起，入站流量是主要风险入口。默认拒绝相当于建立一道“白名单门禁”：只有你明确认可的服务（如 SSH、HTTP）才能进来，其余全部挡在门外。相比默认允许（黑名单位置），它大幅缩小暴露面，避免因疏忽遗漏导致服务意外暴露。
- firewalld（CentOS/RHEL 默认）开箱即用就是 拒绝所有入站，无需额外设置
- ufw（Debian/Ubuntu/Kali 默认工具）需手动执行
sudo ufw default deny incoming才生效 - iptables 无内置默认策略，首次启用时需主动设为
iptables -P INPUT DROP
设置默认拒绝的实操要点
仅设置策略还不够，必须配合基础放行规则，否则可能把自己锁在外面。
- 先确保出站畅通：
sudo ufw default allow outgoing（多数场景必须，否则系统无法更新、解析域名） - 务必提前放行 SSH：
sudo ufw allow 22/tcp（若改过端口，如 2222，则写sudo ufw allow 2222/tcp） - 启用前检查规则顺序：ufw 规则按添加顺序匹配，拒绝策略是兜底行为，应放在最后生效
- 启用后立即验证：
sudo ufw status numbered确认策略已生效且关键端口在列表中
不同工具的默认策略差异
别假设所有防火墙“默认一样”，工具不同，初始状态可能完全不同。
- ufw：安装后处于禁用状态，不生效也不拦截任何流量；启用后若未设默认策略，实际行为取决于已有规则，非自动拒绝
- firewalld：服务启动即激活，public 区域默认拒绝所有入站，这是它的安全基线
- iptables：纯命令行工具，无预设策略，初始 INPUT 链为空，等效于“允许所有”，必须手动加固
拒绝入站后还需注意什么
默认拒绝只是第一步，真实环境还需配套措施防止误锁或绕过。
- 远程管理时，建议保留一个备用访问通道（如带外管理、VNC 或云平台控制台）
- 若使用云服务器，安全组（Security Group）和系统防火墙是两层独立控制，需同步配置，避免冲突
- 某些服务（如 Docker）会绕过 ufw/firewalld 直接操作 iptables，需额外处理或禁用其自动规则
- 日志监控很重要：
sudo ufw logging on可记录被拒连接，帮助识别误拦或扫描行为
