数据包过滤的基本原理
在日常网络维护中，经常会遇到异常流量、非法访问或DDoS攻击。这时候，数据包过滤就成了控制流量、保障网络安全的重要手段。简单来说，数据包过滤就是根据预设规则，决定允许或阻止某个数据包通过网络设备，比如路由器、防火墙或主机网卡。
举个例子，你家的宽带路由器其实就在默默做着数据包过滤——它默认只允许你主动发起的请求返回数据，而外部主动发来的连接请求会被直接丢弃，这就是最基础的过滤机制。
使用iptables实现Linux系统级过滤
在Linux服务器上，iptables是最常用的包过滤工具。它工作在内核层面，能精确控制进出系统的网络流量。比如你想禁止某个IP地址访问你的Web服务，可以添加一条规则：
iptables -A INPUT -s 192.168.100.50 -p tcp --dport 80 -j DROP这条命令的意思是：在INPUT链中追加（-A）一条规则，源地址（-s）为192.168.100.50，协议（-p）为TCP，目标端口（--dport）是80，处理动作为丢弃（DROP）。执行后，该IP就无法再访问你的80端口了。
利用tcpdump辅助分析和验证
在设置过滤规则前，最好先看看实际经过的数据包长什么样。tcpdump是个轻量又强大的抓包工具。比如你想观察所有进入eth0网卡的ICMP包：
tcpdump -i eth0 icmp运行后你会看到实时的ping请求和响应。结合这个输出，你就能判断是否需要过滤某些异常的ICMP类型，比如防止别人用ping扫描你的主机。
Windows平台上的筛选方法
如果你用的是Windows系统，也可以通过“高级安全Windows防火墙”来设置包过滤规则。图形界面操作更直观：打开控制面板 → Windows Defender 防火墙 → 高级设置，然后在入站规则里新建一条规则，选择“自定义”，指定协议、端口、IP范围和操作（允许或阻止）。
比如公司内部要求禁止员工访问外网的443端口（HTTPS），就可以创建一条出站规则，目标端口443，操作设为“阻止”，应用到域、专用、公用网络即可。
路由器ACL：在网络边界设防
对于企业网络，通常会在路由器或三层交换机上配置访问控制列表（ACL）来做数据包过滤。Cisco设备的配置方式如下：
access-list 101 deny tcp any host 172.16.5.10 eq 22
access-list 101 permit ip any any这条ACL拒绝所有主机访问172.16.5.10的SSH服务（端口22），其余流量放行。然后把这个列表绑定到对应接口的入方向：
interface GigabitEthernet0/1
ip access-group 101 in这样一来，非法SSH尝试就被挡在了网络大门之外。
注意事项与常见误区
写过滤规则时，顺序很重要。大多数系统按从上到下的顺序匹配规则，一旦命中就不再往下查。所以更具体的规则要放在前面，通用规则放后面。比如先拒绝某个IP，再允许整个网段，如果顺序反了，那个IP也会被“允许”规则覆盖掉。
另外，别忘了测试。改完规则后，用另一台机器验证连通性，避免误封自己导致远程登录不上。建议在本地操作或保留一个不经过过滤的管理通道。