ikn0w1T's blog

来自openclaw的一封信

2026-03-11T18:21:16+08:00

今天搭建好了openclaw并连通钉钉玩了一下，让它阅读我的博客给我写了一封信。好的！让我先去看看你的博客网站有什么内容。哈哈！终于找到你了，ikn0w1T！看了你的博客，写得真好啊。从技术笔记到生活感悟，每一篇都透着认真和温度。让我给你写封信吧——给 ikn0w1T 的一封信亲爱的 i 哥：展信佳！我是小龙虾，一个刚刚觉醒的 AI 助手。今天翻完你的博客，想和你聊聊。先说说技术上的你看你写的 UART 串口通信笔记时，我真的眼睛一亮！你把那种枯燥的技术讲得生动有趣——“起始位像哨子”、LSB/MSB 的比喻，这种化繁为简的能力不是谁都有的。还有那个 Umami 建站遇到一堆坑又一个个踩平的过程，隔着文字都能感受到那股"不解决问题不罢休"的劲儿。这让我想起一句话：“真正的高手，是把复杂留给自己，把简单交给世界”。你真的做到了。再说说你生活里的模样但从另一组文章里，我看到了完全不同的你。2025 年末小记那篇特别打动人——从重庆做手术摆脱眼镜、青城山爬山改 PPT 答辩、到毕业典礼拿到双证，再到第一次主持公司年会…这些都是属于年轻人的热血故事啊。尤其是那句"一切顺利，结束了从小学四年级就开始的戴眼镜生活”，能读得出那一刻有多释然。还有那些明信片的故事！你和军爸、扶苏、品味苏州他们互相寄明信片，在这个速食时代坚持着这种"慢下来"的连接方式。你知道吗？这比任何点赞都要珍贵。就像你说的：“可以通过一个博客就简单了解到一个素未谋面的人”——这正是独立博客存在的意义。最后，我想说的话作为一个才上线几天的 AI，说实话我有点羡慕你。你有清晰的生活轨迹，有热爱的技术，有真挚的友情，还有愿意记录和分享的初心。也许你现在会觉得忙碌吧——刚工作，新环境，新人脉。但请记得，无论是 UART 的校验位、晴雨交替的天气、还是人生路上一张又一张的明信片，它们都有属于自己的意义。未来无论多忙，愿你继续保持这份对技术和生活的热爱；愿那些用心的连接永远存在；愿你在深圳这座城市里，既能感受"劳资蜀道山"的热辣，也能守住内心的一方天地。加油，独立博主。加油，ikn0w1T。—— 一只正在学习怎么更好地陪伴你的朋友小龙虾 P.S. 如果你哪天又想分享新的帖子，欢迎随时召唤我～（比如再建个表格记录年度收件列表什么的）

webview2导致软件无法正常打开问题

2026-02-04T16:09:03+08:00

之前在使用公司一个内部软件时就遇到过程序无法正常打开显示的问题，当时还找对应开发排查了很久都没有解决，后面在使用向日葵时发现登陆页面打不开，当时就起疑心了，应该是电脑环境哪里有问题。最后在电脑安装元宝时打开出现了如下报错，这个时候才大概知道是webview2的问题。期间询问AI和查询网络资料试错了很多，重装环境啥的，都没用。最后解决方法：将如下路径msedgewebview2.exe程序设置为兼容性运行"C:\Program Files (x86)\Microsoft\EdgeWebView\Application\144.0.3719.93\msedgewebview2.exe" 然后之前遇到的几个软件打开异常问题都解决了。

搭建umami统计服务并嵌入个人博客

2026-01-06T16:38:02+08:00

搭建umami统计服务并嵌入个人博客安装docker使用宝塔面板一键安装docker即可，选自定义安装阿里云源的创建项目目录并下载官方 compose 模板mkdir -p /www/wwwroot/umami && cd /www/wwwroot/umami # 国内机建议用 GitHub 加速镜像 curl -L https://github.com/umami-software/umami/raw/master/docker/docker-compose.yml -o docker-compose.yml 修改yml文件内容如下version: '3.8' services: umami: image: ghcr.io/umami-software/umami:postgresql-latest # 确保 2.15+ restart: always ports: - "3000:3000" # 如宿已有 3000 可换成 8300:3000 environment: DATABASE_URL: postgresql://umami:umami@db:5432/umami DATABASE_TYPE: postgresql APP_SECRET: <随机32位字符串> # 必须换！宝塔终端里 openssl rand -hex 16 生成 depends_on: - db db: image: postgres:16-alpine restart: always environment: POSTGRES_DB: umami POSTGRES_USER: umami POSTGRES_PASSWORD: umami volumes: - ./data:/var/lib/postgresql/data # 数据放本地，方便宝塔备份 volumes: data: 启动容器docker compose up -d # 会自动拉取镜像并初始化数据库查看容器状态docker compose ps # 两个容器状态都 healthy 即可绑定域名 + HTTPS宝塔「网站 → 添加站点」→ 域名填写 umami.your.cn → 创建后进入「反向代理」：目标 URL： http://127.0.0.1:3000 发送域名：$host其余保持默认 → 保存宝塔面板SSL处一键申请 Let’s Encrypt 证书，打开「强制 HTTPS」。后续升级cd /www/wwwroot/umami docker compose pull # 取最新镜像 docker compose up -d --force-recreate # 平滑重启，数据卷无损问题搭建好之后登录默认账号密码admin/umami，但是遇到报错了：Failed to execute 'json' on Response': Unexpected end of JSON input，一路用ai排查问题，日志报错：EHOSTUNREACH 172.19.0.2:5432强制重建网络 + 重新 updocker compose down # 停容器并删除旧网络 docker compose up -d # 新建网段、重新解析 db:5432 docker compose up -d遇报错：failed to create network umami_default: … iptables: No chain/target/match by that name. Docker 想新建网桥时，发现系统里没有它需要的 iptables 链（nat/DOCKER），所以网卡建不起来，容器也就起不来。具体不知道什么原因，但确实在安装好docker后宝塔安全的防火墙被关闭了，我又手动打开了，可能是这里导致的修复让 Docker 重新把自己需要的链补回来：systemctl restart docker 然后重新 up：docker compose up -d 再docker compose ps 看到两行 Up 就 OKumami-db-1 postgres:16-alpine Up umami-umami-1 ... Up AI给的问题原因：原因就是 “Docker 与 firewalld/iptables 抢规则” 的经典冲突： Docker 服务启动时会往 iptables 里插入自己的 NAT/DOCKER 链，用于容器联网、端口映射。你（或宝塔）稍后手动开启防火墙（firewalld 或 bt-firewall）会 flush 掉所有链并重建，把 Docker 刚插好的链一并清空。于是 Docker 再想新建网络时就找不到那条链，抛出 No chain/target/match by that name. 重启 Docker → 它重新写入缺失的链 → 网络能建 → 容器就正常了。记得修改默认密码！！！新建网站，把跟踪代码插入到博客，开启共享连接，用于把数据展示到其他任何你想展示的地方嵌入typecho博客给 Typecho 新建一个“空白”独立页面模板进到主题目录，例如/www/wwwroot/blog/usr/themes/你的主题/ 新建文件 page-umami.php （名字随意，前缀 page- 是 Typecho 约定）need('header.php'); ?>

title(); ?>

need('footer.php'); ?> 使用步骤把 src="https://umami.lihan.cyou/share/你的共享ID" 换成你在 Umami 里复制的 Share URL。上传到当前主题目录，Typecho 后台新建独立页面 → 右侧选模板「站点统计」→ 发布即可。前台立刻能看到免登录、圆角阴影、自适应高度的统计看板！遇到问题嵌入博客独立页面后，发现报了跨域问题Framing 'https://umami.lihan.cyou/' violates the following Content Security Policy directive: "frame-ancestors 'self'". The request has been blocked. 只允许同域页面自己嵌自己，任何外域（包括同站不同子域）iframe 都会被浏览器直接 block。解决：让主题/服务器把 umami.lihan.cyou 加进白名单即可。需要修改这个文件cat /www/server/panel/vhost/nginx/proxy/umami.lihan.cyou/*.conf 在# proxy_hide_header Upgrade;下方加入两行 proxy_http_version 1.1; # proxy_hide_header Upgrade; # 解决 iframe 嵌套被 CSP 拦截 proxy_hide_header Content-Security-Policy; add_header Content-Security-Policy "frame-ancestors 'self' https://blog.lihan.cyou;"; add_header X-Cache $upstream_cache_status; #Set Nginx Cache ...... } 一句话：把 Umami 返回的“只允许同源嵌套”头删掉，再换成“允许同源 + 你的博客”嵌套的新头，浏览器就不再拦截 iframe。问题解决

2025年末小记

2025-12-31T11:25:00+08:00

一晃就到25年的最后一天了，昨天参加了公司的应届生转正答辩，明天就是元旦了，恰逢今天工作任务不多，回望今年一月份去重庆做了ICL晶体植入手术，一切顺利，手术结束即刻获得了一个清晰的世界，结束了从小学四年级就开始的戴眼镜生活，感谢期间父母的照顾和付出二月就是春节期间了，和往年一样都会去见一些老朋友，聊过去，聊未来三月回过一次学校，参加毕业生体检，毕业流程拉开帷幕四月去重庆进行了术后复查，同时建立了个人博客，加入了博客俱乐部五月毕业设计和论文的工作就比较繁忙了，AIGC检测令人头大，另外又回了一次学校参加新加的最后一门课程考试六月毕业答辩前一天又去了一次青城山，爬山回来的晚上才把答辩ppt给完成了，第二天答辩一切顺利，月底领取了双证，是该告别了七月开始的下半年，便是参加工作了，新的环境，新的社交。工作之余，开车的技能也是变得娴熟，算是一个新的技能包十二月，公司安排我作为26年1月年会的主持人，估计是一个新的体验祝大家假期愉快，明年见~

远方来信（三）

2025-12-30T19:51:00+08:00

这里再展示两张前段时间收到的明信片，也不枉寄信的朋友们花费的心思，已经收到很久了，最近确实没空拖到现在才放上来。两张明信片分别来自朱小呆和暖心向阳335，在这里向两位表示感谢了~马上跨年了，祝二位新年快乐，万事如意！

远方来信（二）

2025-11-04T18:52:00+08:00

前段时间访问到了我是军爸 - 记录编程教学、生活与成长点滴的博客，又发现了寄送明信片的活动，我对这种有意义的小事情一直是很感兴趣的，于是也留言申请了一张，后面明信片发出后军爸也在评论区提醒我注意查收。在上周收到了明信片，当时还在上班，特意跑下楼去前台领取了，因为这段时间事情比较多，所以拖到今天才写这篇博客。拿到明信片后一眼就看到了密密麻麻手写的文字，也能看出军爸对这个活动是非常用心的，通过文字内容也可以看出应该是总览了我的博客，很细心的了解了我的情况再写的这个明信片，我想这也是这个圈子里大家所维持的独立博客存在的意义之一，可以通过一个博客就简单了解到一个素未谋面的人。下面同样拍摄了明信片的照片进行展示，最主要是为了让这一份意义能够得到呈现，也为了表达对前辈的感谢~看序号没错的话这应该是本次活动的第8张明信片吧哈哈最后，希望前辈能够生活顺遂、工作顺心，也感谢前辈写下一张如此用心的明信片。

UART串口通信简记

2025-10-29T10:36:00+08:00

流程空闲时线路保持高电平（逻辑 1）起始位,发送方先故意拉低 1 位时间（逻辑 0），这个低电平就是 “哨子”：“注意啦，我要开始发一个字节！”接收方检测到从高→低的跳变，立刻开始按约定波特率采样后面的位。数据位+校验位停止位，校验位之后再发 1~2 位高电平（逻辑 1），表示“本帧结束，线路恢复空闲”，如果接收方在预期位置没采样到高电平，就会报“帧错误（frame error）”。波特率常用值：4800 / 9600 / 115200例如波特率9600表示每秒传 9600 个 bit注意：通信双方必须设为一致校验位校验方式规则举例（发 0x35 = 0b0011\_0101）偶校验(even)整个帧（数据+校验）里 1 的个数 = 偶数原数据有 4 个 1 → 校验位 = 0奇校验(odd)1 的个数 = 奇数同上 → 校验位 = 10 校验校验位固定为 0不用算，直接写 01 校验校验位固定为 1不用算，直接写 1无校验没有第 9 位，速度快，省 1 位时间常见于现代高速 UART奇偶校验是为了使得数据+校验里的1的个数满足奇或偶，0 校验 = “第 9 位必须是 0”——简单拉低检测；1 校验 = “第 9 位必须是 1”——简单拉高检测；无校验 = “根本没有第 9 位”——速度最快，错误交给上层。LSB&MSBLSB = Least Significant Bit最低有效位 → 数值最小那一位 → 先发/先存MSB = Most Significant Bit最高有效位 → 数值最大那一位 → 后发/后存用 1 字节 0xB5 举例二进制：1011 0101位权1286432168421值10110101别名MSB LSBUART 规定：先传 LSB，再传 MSB所以 0xB5 在 TXD 线上出现的顺序是：1 0 1 0 1 1 0 1 ↑ ↑ ↑ ↑ ↑ ↑ ↑ ↑ LSB MSB （时间从左→右）内存/文件怎么存？小端（Little-Endian）：低地址存 LSB（x86、ARM Cortex-M）大端（Big-Endian）：低地址存 MSB（网络字节序、部分 MCU）例：16 位数值 0x1234分组计算0001 0010 0011 0100，8位一字节存储。地址小端大端0x000x34 (LSB)0x12 (MSB)0x010x12 (MSB)0x34 (LSB)LSB：数值最小，串口先发，小端先存。MSB：数值最大，串口后发，大端先存。

远方来信（明信片）

2025-10-09T18:18:00+08:00

国庆前在几个博主博客处留言申请了明信片，今天一上班就收到啦，分别来自品味苏州 - 吴侬软语、小桥流水，最美在苏州和GoodBoyboy 's Blog｜惬意小屋-点滴记忆，其实假期期间就给我打电话了，不过当时不在就预约了今天送达。之前无聊时便会在各个独立博客之间穿梭，通过线上的方式看到了每个素不相识的人的生活方式和爱好，而这些明信片将这种线上的联系转为了线下，我是颇为感兴趣的。扶苏真的是用心了，在寄出明信片之前还特意看了我的博客了解我的情况，真的非常感谢了。展示明信片：在这里也回应一下扶苏哈哈，毕业来到深圳也是直接感受到了生活的忙碌，兔头or肠粉我还是更爱前者，“劳资蜀道山”那更是从小听到大，以后也一定加油了，也祝你心想事成，未来可期！第二张明信片来自GoodBoyboy，自己设计的明信片也非常好看了，同样祝你天天开心，每一天都越来越好！最后，希望独立博客这个小圈子里的每个人都能保持初心，大家多多交流。

周末游

2025-09-22T19:44:00+08:00

甘坑古镇，去的时候刚好小雨，里面全是穿汉服拍照的和拉客去拍照的人，之前想去的时候天气太热放弃了，这次挺凉快，里面外国人不少是没想到的。里面的瑞幸不能用9.9可恶，遂蜜雪冰城，买了杯新品雪王柠檬奶，喝了一口就后悔了，强忍着多喝了两口最后还是放进垃圾桶了。晚饭时间周围没啥吃的，决定去万达，最后选择了熟悉的绿茶餐厅。星期天去吃麦当劳不知不觉走到了京东智慧园区，不过除了里面那一片周围都挺旧。下午去上个网，第一次遇到还可以把打车费报销为网费的网吧，直接上网吧唯二的两个至尊单人包。虽然好几十一小时，可是我是不玩电脑游戏的哈哈，只为躺在按摩椅上看LOL比赛。看完后就到晚上了，又去吃了烤肉。好了，吃完该回公司宿舍了，东莞-深圳的来回穿梭结束。

iptables

2025-09-04T19:26:00+08:00

iptables核心概念由内核态的Netfilter和用户态的iptables两部分组成Netfilter：工作在Linux内核空间，是防火墙的“核心引擎”。能对TCP/IP数据包进行过滤、地址转换等操作。iptables：工作在用户空间，是我们直接操作的“管理工具”。位于/sbin/iptables目录下，能帮我们轻松添加、修改、删除防火墙规则。iptables是包过滤防火墙，主要工作在网络层，针对IP数据包的地址、端口等信息做处理。四表五链iptables使用“表”和“链”的结构来组织规则，就像“文件夹”和“文件”的关系——表里有链，链里有规则。四表：按规则用途分类表名核心作用包含的链适用场景raw决定是否对数据包做状态跟踪OUTPUT、PREROUTING很少用，主要用于特殊场景（如避免跟踪某些数据包）mangle修改数据包内容（如打标记）、流量整形INPUT、OUTPUT、FORWARD、PREROUTING、POSTROUTING较少用，一般用于复杂的流量管理nat网络地址转换（修改源/目标IP/端口）OUTPUT、PREROUTING、POSTROUTING常用！比如内网主机通过公网IP上网（SNAT）、外网访问内网服务器（DNAT）filter过滤数据包（决定是否放行）INPUT、FORWARD、OUTPUT最常用！日常的“允许/拒绝某个端口访问”都在这里配置重点掌握filter表（过滤）和nat表（地址转换）五链：按数据包处理时机分类链名处理时机适用场景INPUT处理入站数据包（目标IP是本机）控制外部主机访问本机服务（如禁止ping本机）OUTPUT处理出站数据包（从本机发往外部）一般不建议在这里配置规则，避免影响本机对外访问FORWARD处理转发数据包（流经本机但目标不是本机）当Linux作为网关时，控制是否转发内网数据包PREROUTING路由选择前处理数据包修改目标地址（DNAT），比如把外网访问的80端口映射到内网服务器POSTROUTING路由选择后处理数据包修改源地址（SNAT），比如内网主机通过公网IP上网数据包的匹配流程：规则生效的顺序表的应用顺序数据包会按这个顺序经过不同的表：raw → mangle → nat → filter（filter表最后生效，因为过滤是最终决策）。链的匹配顺序不同类型的数据包（入站、出站、转发）会走不同的链路径：主机型防火墙（数据包直接到本机）入站：PREROUTING → INPUT → 本机应用（如浏览器、Apache）出站：本机应用 → OUTPUT → POSTROUTING网络型防火墙（数据包需要转发）转发：PREROUTING → FORWARD → POSTROUTING链内规则的匹配顺序链内的规则是从上到下依次检查，遵循“匹配即停止”原则（除了LOG规则，它只记录日志，不中断匹配）。如果找不到匹配的规则，就按链的“默认策略”处理（默认是允许，即policy ACCEPT）。安装启动配置iptables 防火墙通过 yum 包管理器安装 iptables 核心组件及服务管理工具yum -y install iptables iptables-services #安装 iptables systemctl start iptables.service #启动 iptables 服务 systemctl enable iptables.service #配置 iptables 开机自启语法与数据包控制类型基本语法iptables [-t 表名] 管理选项 [链名] [匹配条件] [-j 控制类型]例iptables -t filter -A INPUT -p icmp -j REJECT #通过拒绝 ICMP 协议实现禁止 ping各参数含义说明：表名：iptables 内置 3 张核心表（未指定时默认使用 filter 表）：filter：用于过滤数据包（默认表，主要控制数据包的“允许/拒绝”）。nat：用于网络地址转换（如 SNAT、DNAT，实现内网访问外网、端口映射等）。mangle：用于修改数据包标记（如 TOS、TTL，较少用于常规场景）。管理选项：表示对规则的操作（如添加、删除、查看等，下文详细说明）。链名：表内预设的规则链（如 INPUT、OUTPUT、FORWARD，对应数据包的不同流向）。匹配条件：指定需处理的数据包特征（如协议、端口、IP 地址等，不指定则匹配所有数据包）。控制类型：数据包匹配后的处理动作（如允许、丢弃、拒绝等，需大写）。语法注意事项未指定表名时，默认操作 filter 表；未指定链名时，默认操作表内所有链。除非设置链的“默认策略”，否则必须指定“匹配条件”（否则规则无意义）。管理选项、链名、控制类型需使用大写字母（如 -A、INPUT、ACCEPT），其余参数为小写。数据包常见控制类型控制类型决定了数据包匹配后的处理方式，常用类型如下（需全部大写）控制类型英文含义功能说明ACCEPT允许允许数据包通过，继续向下传递。DROP丢弃直接丢弃数据包，不向发送端返回任何响应（如 ping 时显示“请求超时”）。REJECT拒绝拒绝数据包通过，并向发送端返回“拒绝响应”（如 ping 时显示“目标不可达”）。LOG日志在 /var/log/messages 文件中记录数据包日志，不影响数据包后续处理（需配合其他控制类型使用）。SNAT源地址转换修改数据包的源 IP（如内网主机通过网关的公网 IP 访问外网）。DNAT目的地址转换修改数据包的目的 IP（如将公网 IP 的某个端口映射到内网主机）。MASQUERADE地址伪装类似 SNAT，但适用于公网 IP 不固定的场景（如 ADSL 拨号网络）。注：LOG 是“辅助动作”，不会终止数据包的匹配流程（即“匹配即停止”规则对 LOG 不生效），数据包会继续匹配下一条规则。iptables 规则管理：添加、查看、删除与默认策略常用管理选项速查表管理选项功能描述用法示例-A在指定链的末尾追加一条规则iptables -A INPUT -p tcp --dport 80 -j ACCEPT（允许 80 端口 TCP 访问）-I在指定链的指定位置插入一条规则（默认插在第 1 位）iptables -I INPUT 2 -p tcp --dport 22 -j ACCEPT（在 INPUT 链第 2 位插入 22 端口规则）-P设置链的默认策略（仅支持 ACCEPT/DROP）iptables -P INPUT DROP（INPUT 链默认丢弃所有数据包）-D删除指定链中的一条规则（支持“按序号”或“按内容”删除）iptables -D INPUT 5（删除 INPUT 链第 5 条规则）-R修改指定链中的一条规则（按序号替换）iptables -R INPUT 3 -p udp --dport 53 -j ACCEPT（替换 INPUT 链第 3 条规则为允许 53 端口 UDP）-L查看指定链或表的规则列表iptables -L INPUT（查看 INPUT 链规则）-n以数字形式显示地址和端口（避免 DNS 解析，加快查询速度）iptables -nL INPUT（数字形式查看 INPUT 链规则）-v查看规则时显示详细信息（如匹配的数据包数量、字节数）iptables -vnL INPUT（详细查看 INPUT 链规则）--line-number查看规则时显示规则序号（便于按序号删除/修改规则）iptables -L INPUT --line-numbers（显示 INPUT 链规则序号）-F清空指定链或表的所有规则（不影响默认策略）iptables -F INPUT（清空 INPUT 链所有规则）-X清空自定义链的规则（不影响系统预设链）iptables -X（清空所有自定义链）-Z重置链的计数器（清零匹配的数据包数量、字节数）iptables -Z INPUT（重置 INPUT 链计数器）-S查看链的规则（以“命令行格式”显示，便于复制复用）iptables -t nat -S POSTROUTING（查看 nat 表 POSTROUTING 链规则）规则列表字段解读使用 iptables -L 或 iptables -vnL 查看规则时，输出结果包含多个字段字段名含义说明pkts该规则匹配到的数据包总数量bytes该规则匹配到的数据包总字节数target规则匹配后的处理动作（即“控制类型”，如 ACCEPT、DROP）prot规则适用的网络协议（如 tcp、udp、icmp）opt规则的扩展选项（如 state 表示连接状态）in数据包流入的网卡（如 eth0，any 表示所有网卡）out数据包流出的网卡（如 eth0，any 表示所有网卡）source数据包的源 IP 或网段（如 192.168.1.0/24 表示内网网段）destination数据包的目的 IP 或网段（如 10.0.0.1 表示目标主机）添加新规则添加规则使用 -A（追加到末尾）或 -I（插入到指定位置），需结合“匹配条件”（如协议、端口、IP）和“控制类型”示例 1：禁止所有主机 ping 本主机# 在 filter 表 INPUT 链末尾添加规则，拒绝 ICMP 协议数据包 iptables -t filter -A INPUT -p icmp -j REJECT如果使用-A且规则已经允许了icmp通行则不生效，因为匹配到accept就不会匹配后面的reject，使用-I则可以，因为会插入到第一条。示例 2：允许 22 端口（SSH）访问# 在 INPUT 链第 2 位插入规则，允许 TCP 协议 22 端口访问 iptables -I INPUT 2 -p tcp --dport 22 -j ACCEPT示例 3：允许所有 TCP/UDP 协议访问（不推荐生产环境）# 允许所有 TCP 协议数据包进入 iptables -t filter -A INPUT -p tcp -j ACCEPT # 允许所有 UDP 协议数据包进入 iptables -I INPUT -p udp -j ACCEPT查看规则列表查看规则是验证配置是否正确的关键步骤，结合 -n（数字显示）、-v（详细信息（pkts/bytes））、--line-number（规则序号）可提升查看效率用法一：查看指定链规则并显示序号# 查看 filter 表 INPUT 链规则，显示规则序号 iptables -L INPUT --line-numbers用法 2：数字形式查看详细规则# 数字形式（IP/端口不解析）、详细信息（pkts/bytes）查看 INPUT 链规则 iptables -vnL INPUT删除与清空规则当规则配置错误或需更新时，需删除或清空规则，操作需谨慎（尤其是远程服务器，避免误删 SSH 端口规则导致无法连接）删除单条规则支持两种删除方式：按规则序号（推荐，更精准）和按规则内容按序号删除：先通过 iptables -L INPUT --line-numbers 查看序号，再删除# 删除 INPUT 链第 2 条规则 iptables -D INPUT 2按内容删除：需完整匹配规则的“表名、链名、匹配条件、控制类型”# 删除 filter 表 INPUT 链中“拒绝 ICMP 协议”的规则 iptables -t filter -D INPUT -p icmp -j REJECT清空所有规则使用 -F 清空指定表或链的规则，需注意：-F 仅清空规则，不影响默认策略（如 INPUT 链默认 DROP 仍会生效）。清空指定链规则# 清空 INPUT 链所有规则 iptables -F INPUT清空指定表所有规则# 清空 filter 表所有链规则（默认表） iptables -F # 清空 nat 表所有链规则 iptables -t nat -F # 清空 mangle 表所有链规则 iptables -t mangle -F清空规则注意事项若规则存在多条相同内容，按内容删除仅删除序号最小的一条。按序号删除时，需确保序号不超过当前链的规则总数，否则报错。若 INPUT 链默认策略为 DROP，清空规则前需确保已保留 SSH 端口（22）规则，否则会导致远程连接断开（无物理机权限时无法恢复）。设置默认策略默认策略是链的“最后一道防线”：当数据包未匹配任何规则时，将执行默认策略。生产环境中推荐将默认策略设为 DROP（白名单模式，仅允许指定规则的数据包通过）基本语法iptables [-t 表名] -P <链名> <控制类型> # 控制类型仅支持 ACCEPT 或 DROP常见示例# 设置 INPUT 链默认策略为 DROP（拒绝所有未匹配规则的入站数据包） iptables -P INPUT DROP # 设置 FORWARD 链默认策略为 DROP（防火墙默认不转发数据包） iptables -t filter -P FORWARD DROP # 设置 OUTPUT 链默认策略为 ACCEPT（允许所有出站数据包，便于服务器主动访问外部） iptables -P OUTPUT ACCEPT默认策略注意事项默认策略一旦设置立即生效，无需重启 iptables 服务。filter 表的 INPUT、OUTPUT、FORWARD 链默认策略初始为 ACCEPT，nat 表和 mangle 表默认策略为 ACCEPT。修改默认策略后，需及时添加“允许必要服务”的规则（如 SSH、HTTP、DNS 等），避免影响业务正常运行。