答案：Linux中通过iptables或firewalld设置IP白名单以控制服务访问。1. iptables使用-A INPUT添加允许规则，再用DROP拒绝其他IP，并保存规则防止重启失效；2. firewalld通过--add-source或--add-rich-rule将指定IP加入trusted区域或限制特定服务，最后重载生效。需注意避免封禁自身、规则顺序及安全性增强。
在Linux系统中设置IP白名单，主要是通过防火墙工具来实现访问控制，确保只有指定的IP地址能够访问服务器的特定服务（如SSH、Web服务等）。常用的方法是使用iptables或firewalld。下面介绍两种主流方式的具体配置与管理方法。
使用iptables配置IP白名单
iptables是Linux内核自带的包过滤工具，功能强大且广泛支持。
1. 允许特定IP访问指定端口
例如，只允许IP为192.168.1.100的主机访问SSH服务（端口22）：- iptables -A INPUT -p tcp --dport 22 -s 192.168.1.100 -j ACCEPT
- iptables -A INPUT -p tcp --dport 22 -j DROP
2. 允许多个IP地址访问
重复添加规则即可：- iptables -A INPUT -p tcp --dport 22 -s 192.168.1.101 -j ACCEPT
- iptables -A INPUT -p tcp --dport 22 -s 192.168.1.102 -j ACCEPT
3. 保存规则（防止重启后失效）
不同发行版保存方式略有不同：
- CentOS/RHEL: service iptables save
- Ubuntu/Debian: iptables-save > /etc/iptables/rules.v4
使用firewalld配置IP白名单（适用于CentOS/RHEL/Fedora）
firewalld是动态防火墙管理工具，支持区域（zone）概念，适合更灵活的策略管理。
1. 将可信IP加入信任区域
将特定IP加入trusted区域，表示完全信任：- firewall-cmd --permanent --add-source=192.168.1.100 --zone=trusted
- firewall-cmd --reload
2. 基于rich rules限制特定服务
仅允许某个IP访问SSH：- firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="192.168.1.100" service name="ssh" accept'
- firewall-cmd --reload
3. 查看已配置规则
- firewall-cmd --list-all
- firewall-cmd --list-rich-rules
常见注意事项
配置IP白名单时需注意以下几点：- 避免误封自己IP，建议先保留临时访问通道（如控制台登录）
- 规则顺序很重要，iptables按顺序匹配，应先写允许再写拒绝
- 生产环境建议结合fail2ban等工具增强安全性
- 定期检查和清理过期规则
