防火墙IP白名单设置方法

防火墙IP白名单的设置，本质是通过操作系统或网络设备内置的安全策略，精准放行指定来源IP的通信请求，从而在保障服务可用性的同时强化访问控制。Windows系统可通过“高级安全Windows Defender防火墙”新建入站规则，选择自定义类型、限定源IP地址范围、明确允许连接，并以规范命名留存配置；Linux环境则依托iptables或firewalld等原生工具，通过创建专用链、重定向流量、逐条添加授权IP及端口规则，并设定默认拒绝策略来实现更细粒度的管控。无论哪种平台，操作均需严格遵循最小权限原则，确保每一条白名单规则均有明确业务依据，且配置后须验证生效状态与连通性——这既是网络安全基线的要求，也是企业级IT运维中不可或缺的标准化实践。

一、Windows系统白名单配置实操要点

在Windows 11/10中，需通过“高级安全Windows Defender防火墙”执行结构化配置。首先以管理员身份打开控制面板→系统和安全→Windows Defender防火墙→高级设置；进入后点击“入站规则”→“新建规则”，类型选择“自定义”，程序选项勾选“所有程序”，协议和端口保持“任何”，在“作用域”步骤中精确填写需放行的单个IP（如192.168.5.20）或CIDR格式网段（如10.0.1.0/24），务必避免使用通配符或0.0.0.0；规则操作设为“允许连接”，配置文件按实际场景勾选域、专用或公用网络；最后命名建议采用“业务名称_功能_日期”格式，例如“CRM系统_API调用_20240520”，便于后续审计与维护。

二、Linux服务器iptables白名单部署流程

以CentOS 7/8或Ubuntu 20.04以上版本为例，需先确认iptables服务已安装并启用。终端中依次执行：创建专用链iptables -N whitelist；将全部入站流量导向该链iptables -A INPUT -j whitelist；逐条添加可信IP，如iptables -A whitelist -s 192.168.10.5 -m state --state NEW -j ACCEPT；若需开放特定服务端口（如SSH 22、HTTPS 443），补充iptables -A whitelist -p tcp --dport 22 -j ACCEPT；完成全部授权后，执行iptables -P INPUT DROP锁定默认策略；最后使用iptables-save > /etc/sysconfig/iptables（CentOS）或netfilter-persistent save（Ubuntu）固化规则，防止重启失效。

三、验证与持续管理关键动作

配置完成后不可跳过验证环节：从白名单内IP使用telnet或nc命令测试目标端口连通性，同时从非白名单IP发起相同请求应被拒绝；建议每季度审查白名单条目，删除超过90天未使用的IP；对临时调试IP标注有效期并在防火墙规则描述中注明审批人及用途；企业环境推荐结合SIEM系统采集防火墙日志，设置阈值告警——当某IP连续三次被DROP时自动触发运维工单，实现闭环管理。

综上，IP白名单不是一次性配置任务，而是融合策略设计、精准实施与周期复核的安全治理过程。