树莓派4B安全加固实战：从系统安装到防火墙的全流程防护
你有没有想过，那个安静躺在角落、运行着家庭监控或轻量服务器的树莓派4B，其实正被成千上万的自动化扫描程序“盯”着？它可能已经收到了来自全球IP的SSH登录尝试——而这一切，往往始于一个简单的事实：默认配置不等于安全配置。
尤其在完成“树莓派4B安装系统”后，设备虽然能正常启动并联网，但它的门几乎是敞开的。弱密码、默认端口、未设限的访问来源……这些看似微不足道的小问题，正是网络攻击者最喜欢钻的漏洞。
本文将带你一步步构建一套真实可用的安全策略体系，不仅告诉你怎么做，更解释清楚“为什么这么做”。我们将从系统初始化开始，深入到iptables防火墙的核心机制，并结合SSH服务加固与日志监控，打造一个既能用又够硬的边缘节点。
一、别让“开箱即用”变成“开箱即危”
很多用户第一次点亮树莓派时，流程很标准：
- 下载 Raspberry Pi OS 镜像；
- 用 Imager 写卡；
- 插电启动，输入默认账号
pi/ 密码raspberry登录。
看起来一切顺利，但这个过程埋下了三个高风险隐患：
- 默认凭证公开可查：全世界都知道
pi:raspberry是初始账户。 - SSH 默认开启（某些镜像）：一旦接入网络，22端口立刻暴露。
- 无访问控制：任何能到达你局域网的设备都可以尝试连接。
🛑 真实案例：某开发者将树莓派接在家用路由器下做远程文件服务器，三天内日志显示超过800次来自境外IP的SSH爆破尝试。
所以，真正的第一步不是“能不能连上”，而是“谁可以连上来”。
✅ 安全初始化 checklist
首次登录后，请立即执行以下操作：
# 1. 修改默认密码（必做） passwd # 2. 使用 raspi-config 进行基础安全设置 sudo raspi-config在图形菜单中完成：
- 更改密码
- 设置主机名（如home-gateway）
- 禁用无用服务（蓝牙、打印等）
- 关闭图形界面（若使用 Lite 版则无需）
- 启用 SSH（仅限调试阶段）
# 3. 升级系统，打上最新补丁 sudo apt update && sudo apt full-upgrade -y💡 建议选择Raspberry Pi OS Lite版本。没有GUI意味着更少进程、更低内存占用、更小攻击面。
二、iptables：你的第一道网络防线
很多人听到“防火墙”就想到图形化工具，但在嵌入式环境中，最可靠、最轻量的选择依然是 Linux 内核自带的iptables。
它是怎么工作的？
简单来说，iptables就像一个交通警察，站在数据包进出的路上，根据预设规则决定放行、拦截还是记录。它的规则基于“表 + 链 + 匹配条件 + 动作”模型。
核心机制一句话讲明白
所有进入树莓派的数据包，都会先经过
INPUT链；只有明确允许的，才能通过；其余一律拒绝。
这叫默认拒绝策略（Default Deny），是网络安全的黄金法则。
四个关键概念快速掌握
| 概念 | 说明 |
|---|---|
| 表（tables） | 不同用途的规则集合，常用的是filter表 |
| 链（chains） | 数据包流动路径上的检查点，如INPUT,OUTPUT |
| 匹配条件 | 源IP、目标端口、协议类型、连接状态等 |
| 动作（target） | ACCEPT（放行）、DROP（静默丢弃）、REJECT（拒绝并回复错误） |
例如这条规则：
iptables -A INPUT -p tcp --dport 22 -s 192.168.1.100 -j ACCEPT意思是：“允许来自192.168.1.100的机器访问本机的 SSH 端口”。
再加一条：
iptables -A INPUT -p tcp --dport 22 -j DROP效果就是：除了那台特定电脑，其他所有IP都连不上SSH。
三、动手写一个实用防火墙脚本
下面是一个经过生产环境验证的基础防火墙脚本，适用于大多数树莓派应用场景。
#!/bin/bash # firewall.sh - 树莓派最小化安全防火墙配置 # === 清除旧规则 === iptables -F iptables -X iptables -t nat -F iptables -t mangle -F # === 设置默认策略 === iptables -P INPUT DROP # 入站：默认拒绝 iptables -P FORWARD DROP # 转发：关闭（除非做网关） iptables -P OUTPUT ACCEPT # 出站：默认允许（可根据需要收紧） # === 放行本地回环 === iptables -A INPUT -i lo -j ACCEPT iptables -A OUTPUT -o lo -j ACCEPT # === 放行已建立的连接 === iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT # === 允许 ICMP（ping），但限速防滥用 === iptables -A INPUT -p icmp --icmp-type echo-request -m limit --limit 5/min -j ACCEPT # === SSH 访问控制（示例：仅允许局域网访问，且限制频率）=== # 注意：请先确保你能物理访问设备或保留备用通道！ iptables -A INPUT -p tcp --dport 22 -s 192.168.1.0/24 \ -m conntrack --ctstate NEW -m limit --limit 3/min -j ACCEPT # === 可选：开放其他必要端口（按需取消注释）=== # Web服务 # iptables -A INPUT -p tcp --dport 80 -j ACCEPT # iptables -A INPUT -p tcp --dport 443 -j ACCEPT # MQTT # iptables -A INPUT -p tcp --dport 1883 -s 192.168.1.50 -j ACCEPT # === 日志记录被拒绝的连接（用于排查和审计）=== iptables -A INPUT -j LOG --log-prefix "FW-DENIED: " exit 0脚本设计思路解析
- 默认拒绝：这是整个策略的灵魂。你不主动放行的服务，外界根本不知道它存在。
- 连接追踪：通过
conntrack模块自动识别“响应流量”，避免阻断你自己发起的请求。 - 速率限制：对SSH连接加入每分钟最多3次的新连接限制，有效防止暴力破解。
- 日志前缀：方便后续用
grep "FW-DENIED"快速查看可疑行为。
四、让规则重启不丢失：持久化配置
⚠️ 重要提醒：iptables规则是临时的！重启之后全部清空。
必须做持久化处理。推荐两种方式：
方法一：使用iptables-save和restore
# 保存当前规则 sudo iptables-save > /etc/iptables/rules.v4 # 创建开机恢复服务（Debian系标准做法） sudo mkdir -p /etc/iptables # 编辑恢复脚本 cat << 'EOF' | sudo tee /etc/network/if-pre-up.d/iptables-load #!/bin/sh iptables-restore < /etc/iptables/rules.v4 EOF sudo chmod +x /etc/network/if-pre-up.d/iptables-load方法二：集成进 systemd（更现代的做法）
创建服务文件：
sudo nano /etc/systemd/system/iptables-restore.service内容如下：
[Unit] Description=Restore iptables rules Before=network-pre.target Wants=network-pre.target [Service] Type=oneshot ExecStart=/sbin/iptables-restore /etc/iptables/rules.v4 RemainAfterExit=yes [Install] WantedBy=multi-user.target启用服务：
sudo systemctl enable iptables-restore.service这样每次开机都会自动加载你的防火墙规则。
五、SSH 加固：从“能连”到“安全地连”
即使有了防火墙，SSH本身也得加强防护。否则，一旦有人绕过IP限制（比如内网渗透），依然可能入侵。
推荐安全配置（编辑/etc/ssh/sshd_config）
Port 2222 # 改为非标准端口，避开日常扫描 PermitRootLogin no # 禁止root直接登录 PasswordAuthentication no # 禁用密码，强制使用密钥 PubkeyAuthentication yes AuthorizedKeysFile .ssh/authorized_keys AllowUsers pi # 明确指定允许登录的用户 MaxAuthTries 3 # 最多尝试3次失败即断开 ClientAliveInterval 300 # 5分钟无操作自动断开修改后重启服务：
sudo systemctl restart ssh如何配置密钥登录？
在你的本地电脑生成密钥对：
ssh-keygen -t ed25519 -C "pi@home-gateway"上传公钥到树莓派：
ssh-copy-id -i ~/.ssh/id_ed25519.pub pi@<树莓派IP> -p 2222测试成功后，再关闭密码登录，避免锁死自己。
六、锦上添花：fail2ban 自动封禁恶意IP
光靠静态规则还不够。我们还需要一个“智能守卫”来动态应对异常行为。
fail2ban就是这样一个工具：它实时监控日志文件（如/var/log/auth.log），发现多次失败登录就自动添加一条iptables规则封禁该IP。
安装很简单：
sudo apt install fail2ban -y复制默认配置：
sudo cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local编辑jail.local，调整关键参数：
[sshd] enabled = true port = 2222 filter = sshd logpath = /var/log/auth.log maxretry = 3 bantime = 86400 ; 封禁一天 findtime = 600 ; 10分钟内达到3次即触发启动并启用服务：
sudo systemctl enable fail2ban sudo systemctl start fail2ban从此以后，每个试图暴力破解SSH的IP，都会在几次尝试后被自动拉黑。
七、常见坑点与避坑秘籍
❌ 错误1：远程配置时直接DROP所有流量
结果：自己也被踢出去了，只能插显示器重来。
✅ 正确做法：
- 先在本地终端操作；
- 或保留一条“逃生通道”规则（如允许某个固定IP）；
- 测试无误后再删除。
❌ 错误2：忘记保存规则导致重启失效
✅ 解决方案：务必完成持久化步骤，建议配合定时任务定期备份规则。
❌ 错误3：开放了端口但没关服务，或者关了服务却忘了防火墙
✅ 最佳实践：遵循最小权限原则——
不需要的功能，彻底关闭；需要的功能，严格限制。
八、这套方案适合哪些场景？
| 应用场景 | 是否适用 | 说明 |
|---|---|---|
| 家庭NAS服务器 | ✅ | 结合Samba+防火墙，只允许可信设备访问 |
| MQTT网关 | ✅ | 限制Broker连接源，防止非法设备接入 |
| 视频流服务器 | ✅ | 开放RTSP端口给指定客户端 |
| 工业数据采集 | ✅✅ | 强烈建议启用，保障生产环境安全 |
| 教学演示设备 | ⚠️ | 若需多人连接，可放宽SSH限制但启用fail2ban |
写在最后：安全不是功能，而是习惯
完成“树莓派4B安装系统”只是起点，真正的挑战在于如何让它长期稳定、安全地运行在网络中。
本文提到的所有技术——系统更新、密钥认证、iptables、fail2ban——都不是什么黑科技，它们早已是Linux运维的基本功。但正是这些看似简单的组合，构成了抵御绝大多数网络攻击的第一道屏障。
下次当你准备给树莓派插上网线之前，不妨问自己一句：
“我这台设备，真的准备好了吗？”
如果你愿意，可以把上面那个防火墙脚本保存下来，作为你每一台树莓派的“安全启动模板”。每一次部署，都是对安全意识的一次强化。
💬互动时间：你在部署树莓派时遇到过哪些安全问题？是如何解决的？欢迎在评论区分享你的实战经验！
