在前面的章节中，我们已经完成了 Samba 文件服务器的基础安装、Active Directory 域成员加入、共享目录配置以及审计日志等应用层安全加固。然而，仅依靠 Samba 自身的配置参数（如bind interfaces only、smb ports = 445、disable netbios等）并不足以构建完整的防护体系。一台暴露在局域网中的文件服务器，仍然可能面临端口扫描、TCP 标志位异常包、SSH 暴力破解以及 SMB 连接泛洪等多种系统级攻击。本章聚焦于iptables 本地防火墙的实战部署。我们将介绍一套经过生产环境验证的防火墙脚本，逐段解析其设计思路，通过 nmap 和 tcpdump 验证防护效果，并最终配置 systemd 服务实现开机自启。整套方案在 Debian 11 和 CentOS 8 上均经过实测，对 RHEL、Rocky Linux、AlmaLinux 及 Ubuntu 同样适用。一、Samba 配置之外的系统级防护Samba 文件服务器的安全需要从两个维度同时考量：1、SMB 协议层：共享权限、身份认证、协议版本限制等，由smb.conf或注册表后端控制。2、Linux 系统层：开放端口的最小化、异常流量过滤、暴力破解限速等，需要内核级防火墙配合。即便 Samba 配置得当，如果系统防火墙缺失或配置宽松，攻击者仍可通过 SSH 暴力破解获取 shell，或利用端口扫描探测
)
