一、端口选择
在确定Linux防火墙策略的过程中，首先要选择需要开放的端口。一般来说，对于服务器来说，需要开放的端口包括HTTP、HTTPS、SSH、FTP等。但是在实际使用中，我们可以根据具体情况进行选择。
以HTTP为例，HTTP协议的默认端口为80。因此，在防火墙中开放80端口可以让用户通过HTTP协议访问网站。如果需要使用HTTPS协议，需要开放443端口。可以通过下面的iptables命令开放80端口：
iptables -A INPUT -p tcp --dport 80 -j ACCEPT
其中，“-A INPUT”表示添加一条规则到INPUT链，“-p tcp”表示使用TCP协议，“--dport 80”表示目标端口是80，最后“-j ACCEPT”表示接受这个连接。通过这个命令，可以将来自网络的80端口的连接请求授权给服务器。
同样的，如果需要开放其他端口，可以按照上述方法进行设置。
二、禁止所有端口访问
在确定需要开放的端口后，为了确保服务器的安全性，需要禁止所有未授权的端口访问。可以通过下面的iptables命令实现：
iptables -P INPUT DROP iptables -P FORWARD DROP iptables -P OUTPUT ACCEPT
其中，“-P INPUT DROP”表示INPUT链默认拒绝所有请求，“-P FORWARD DROP”表示FORWARD链默认拒绝所有请求，“-P OUTPUT ACCEPT”表示OUTPUT链默认允许所有请求。
当然，如果网络中有特殊的服务需要开放，可以针对该服务在输入链中添加相应规则，以满足服务的正常运行。
三、通过MAC地址限制访问
除了限制端口访问之外，还可以通过MAC地址限制访问。MAC地址是网络接口的唯一地址，因此只有授权的MAC地址才能访问服务器。
可以通过下面的iptables命令实现MAC地址过滤：
iptables -A INPUT -m mac --mac-source 00:11:22:33:44:55 -j ACCEPT
其中，“-m mac”表示使用mac模块进行过滤，“--mac-source 00:11:22:33:44:55”表示指定MAC地址为00:11:22:33:44:55。
针对不同的MAC地址可以添加不同的规则，以实现细粒度的访问控制。
四、防止DDoS攻击
DDoS攻击是一种常见的网络攻击方式，可以通过占用服务器的带宽、资源等方式使服务器无法正常运行。为了防止DDoS攻击，可以使用iptables的限制速率功能，限制同一个IP地址的访问速率。
可以通过下面的iptables命令启用限速功能：
iptables -A INPUT -p tcp -m limit --limit 100/minute -j ACCEPT iptables -A INPUT -j DROP
其中，“-m limit”表示使用速率限制模块，“--limit 100/minute”表示每分钟允许100个连接请求，“-j ACCEPT”表示接受这个连接。如果超过限制，就会进入DROP规则，拒绝这个连接。
通过此方式，可以有效地防止DDoS攻击。
