1. 项目概述为什么iptables依然是Linux安全的中流砥柱在云原生和容器化技术大行其道的今天各种新型网络方案层出不穷但如果你深入到任何一台Linux服务器的内核网络栈你依然会与一个“老将”不期而遇——它就是iptables。作为一名运维工程师我处理过无数次服务器被扫描、服务被异常访问的紧急状况而iptables往往是解决问题的第一道也是最有效的一道防线。它可能没有华丽的图形界面命令看起来也有些晦涩但正是这种直接与内核对话的能力赋予了它无与伦比的精确性和灵活性。无论是简单的端口封锁还是复杂的网络地址转换NAT、流量整形iptables都能胜任。理解它不仅仅是学会几条命令更是理解Linux网络数据包的流转逻辑这是构建稳固系统安全体系的基石。本文旨在为你剥开iptables看似复杂的外壳从核心概念到生产环境配置手把手带你掌握这套强大的防火墙工具。2. iptables核心架构与数据包旅程要玩转iptables死记硬背命令是行不通的必须首先理解它的核心架构和工作原理。你可以把整个网络数据包的处理过程想象成一场在邮局内核里进行的包裹分拣。2.1 四表五链iptables的规则容器与检查点iptables的规则并非杂乱无章地堆在一起而是被精心组织在**表Tables和链Chains**中。四个核心表各司其职filter表这是最常用的表负责过滤数据包决定是放行ACCEPT还是丢弃DROP。我们常说的防火墙规则大多定义于此。nat表用于网络地址转换。当你的数据包需要改变源或目标地址时比如做路由器、Docker容器的端口映射就用到它。它包含PREROUTING、OUTPUT、POSTROUTING三个链。mangle表这是一个“修改”表用于对数据包进行一些特殊修改比如修改TTL生存时间、设置QoS服务质量标记等。普通防火墙场景较少使用。raw表主要用于配置数据包是否被连接跟踪机制处理。对于想绕过Netfilter连接跟踪的高速转发场景如高并发网关非常重要。五条内置链构成了数据包的必经之路INPUT链处理发往本机的数据包。比如有人SSH连接到你的服务器这个数据包就会经过INPUT链。OUTPUT链处理从本机发出的数据包。比如你从服务器上curl一个外部网站。FORWARD链处理经过本机转发的数据包。当你的Linux服务器充当路由器或网关时这个链就至关重要。PREROUTING链在数据包进入IP路由判断之前进行处理。nat表的DNAT目标地址转换通常在这里进行。POSTROUTING链在数据包离开网卡之后进行处理。nat表的SNAT源地址转换通常在这里进行。注意不是每个表都拥有全部五条链。例如filter表只有INPUT、FORWARD、OUTPUT三条链因为它只关心数据的过滤不关心地址转换。2.2 一个数据包的“奇幻漂流”让我们跟踪一个来自互联网、目标是访问你服务器上Web服务端口80的数据包旅程网卡接收数据包从物理网卡进入。PREROUTING链raw - mangle - nat数据包首先到达PREROUTING链。这里可以进行DNAT。例如如果你把公网IP的80端口映射到内网一台服务器的8080端口就是在这里修改数据包的目标地址和端口。路由决策内核查看数据包的目标IP地址判断这个包是发给本机的还是需要转发的。目的地为本机INPUT链mangle - filter数据包进入INPUT链filter表的INPUT链在这里决定是否允许这个包进入本机的上层协议栈如TCP/IP协议栈。我们的防火墙规则主要在这里生效。本地进程处理如果被ACCEPT数据包交给本机的Web服务如Nginx处理。目的地为转发FORWARD链mangle - filter数据包进入FORWARD链filter表的FORWARD链决定是否允许转发这个包。POSTROUTING链mangle - nat如果允许转发数据包在发出前经过POSTROUTING链这里可以进行SNAT修改源地址通常用于内网机器上网。从本机发出OUTPUT链raw - mangle - nat - filter本机进程主动发出的数据包如Web服务器回复给客户端的响应会经过OUTPUT链。POSTROUTING链mangle - nat最后发出的数据包也会经过POSTROUTING链进行可能的SNAT。理解这个流程至关重要。当你添加一条规则时你必须清楚我的数据包会走哪条路径我应该把规则加到哪个表的哪条链上3. 从零开始iptables基础命令与规则管理掌握了理论我们开始动手。iptables命令的通用格式是iptables [-t 表名] 命令选项 链名 匹配条件 -j 目标动作。如果省略-t 表名默认操作的是filter表。3.1 规则的生命周期增删改查查看规则这是最常用的操作。使用-L或--list选项。# 查看filter表所有链的规则默认就是filter表 iptables -L # 以更详细的数字格式显示显示IP和端口号 iptables -L -n # 显示规则编号这对后续的插入和删除操作非常关键 iptables -L -n --line-numbers # 查看nat表的规则 iptables -t nat -L -n添加规则使用-A追加到链尾或-I插入到指定位置。# 允许来自192.168.1.100的SSH连接22端口 iptables -A INPUT -s 192.168.1.100 -p tcp --dport 22 -j ACCEPT # 在INPUT链的第1条位置插入一条规则允许环回接口(lo)的所有流量这通常应该放在最前面 iptables -I INPUT 1 -i lo -j ACCEPT删除规则使用-D。# 根据规则内容删除必须完全匹配添加时的命令 iptables -D INPUT -s 192.168.1.100 -p tcp --dport 22 -j ACCEPT # 根据规则编号删除更常用先用--line-numbers查看编号 iptables -D INPUT 2清空规则使用-F。危险操作生产环境慎用# 清空filter表所有链的规则 iptables -F # 清空nat表所有链的规则 iptables -t nat -F设置默认策略使用-P。默认策略是链中所有规则都不匹配时的最终动作。# 将INPUT链的默认策略设置为DROP丢弃。在配置好允许的规则后这是安全的最佳实践。 iptables -P INPUT DROP # 将OUTPUT链的默认策略设置为ACCEPT允许通常我们信任本机发出的流量。 iptables -P OUTPUT ACCEPT # 将FORWARD链的默认策略设置为DROP除非你明确需要做路由转发。 iptables -P FORWARD DROP3.2 核心匹配条件详解规则的精髓在于匹配条件。以下是一些最常用的匹配参数按网络接口-i接收数据的网卡如eth0-o发送数据的网卡。注意-i一般只用于INPUT、FORWARD、PREROUTING链-o用于OUTPUT、FORWARD、POSTROUTING链。按源/目标地址-s源地址-d目标地址。支持单个IP192.168.1.1、网段192.168.1.0/24或域名解析风险大不推荐在规则中直接使用。按协议-p协议如tcp、udp、icmp、all。按端口当-p tcp或-p udp时可用。--sport源端口--dport目标端口。支持单个端口80、端口范围3000:3010。按连接状态-m state --state。这是极其重要的模块状态包括NEW新建连接的第一个包。ESTABLISHED已建立连接的后续包。RELATED与已有连接相关的连接如FTP的数据连接。INVALID无法识别的包。实操心得善用连接状态可以大幅简化规则并提高安全性。一个经典的安全配置是iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT。这条规则放在允许特定端口开放的规则之后可以允许所有由本机主动发起的连接的回包同时阻止所有外部主动发起的、非允许端口的新连接。这是构建“白名单”防火墙的基础。3.3 目标动作-j匹配到条件后数据包的去向由-j指定ACCEPT接受数据包。DROP丢弃数据包不给发送方任何回应。像数据包凭空消失更安全。REJECT拒绝数据包会返回一个错误响应如tcp-reset或icmp-port-unreachable。对用户更友好但会暴露防火墙存在。LOG将数据包信息记录到系统日志如/var/log/messages或/var/log/kern.log然后继续匹配后续规则。用于调试。SNAT/DNAT在nat表中用于地址转换。4. 构建一个生产级服务器防火墙策略理论说再多不如一个实例。假设我们有一台部署了Web服务的CentOS服务器公网IP是203.0.113.10内网IP是192.168.1.10。我们需要配置防火墙实现以下目标允许所有本地回环流量。允许已建立的连接和相关的连接。允许来自任何地方的HTTP(80)、HTTPS(443)访问。仅允许来自管理IP段192.168.1.0/24和特定办公IP198.51.100.55的SSH(22)访问。允许服务器向外部DNS服务器(53端口)发起查询。允许服务器主动向外发起HTTP/HTTPS连接用于软件更新、调用API等。默认拒绝所有其他入站流量允许所有出站流量。下面是我们一步步构建的策略脚本#!/bin/bash # 文件名setup_firewall.sh # 描述生产服务器基础防火墙配置 # 1. 清空所有现有规则谨慎最好在业务低峰期或通过管理口操作 iptables -F iptables -t nat -F iptables -t mangle -F # 2. 设置默认策略 iptables -P INPUT DROP iptables -P FORWARD DROP iptables -P OUTPUT ACCEPT # 3. 允许本地回环接口的所有流量必须放在最前 iptables -A INPUT -i lo -j ACCEPT iptables -A OUTPUT -o lo -j ACCEPT # 4. 允许已建立连接和相关的连接这是保证“有去有回”的关键 iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT # 5. 允许来自特定IP范围的SSH访问 iptables -A INPUT -s 192.168.1.0/24 -p tcp --dport 22 -m state --state NEW -j ACCEPT iptables -A INPUT -s 198.51.100.55/32 -p tcp --dport 22 -m state --state NEW -j ACCEPT # 6. 允许HTTP和HTTPS访问 iptables -A INPUT -p tcp --dport 80 -m state --state NEW -j ACCEPT iptables -A INPUT -p tcp --dport 443 -m state --state NEW -j ACCEPT # 7. 允许ICMPping便于网络诊断可根据安全要求选择开放 iptables -A INPUT -p icmp --icmp-type echo-request -j ACCEPT # 8. 记录被拒绝的异常尝试限制频率避免日志爆炸 iptables -A INPUT -m limit --limit 5/min -j LOG --log-prefix IPTABLES-DROP: --log-level 4 # 保存规则根据不同发行版 # 对于RHEL/CentOS 7及之前或使用systemctl的发行版 # systemctl start iptables # systemctl enable iptables # 或者使用service iptables save # 对于Debian/Ubuntu通常需要安装iptables-persistent # apt-get install iptables-persistent # 当前规则保存netfilter-persistent save重要注意事项在执行清空规则-F和设置默认DROP策略前务必确保你已经通过物理控制台KVM/IPMI或一个不会被规则阻断的管理连接例如在清空规则前先添加一条允许当前SSH会话IP的规则登录到服务器。否则你会立刻把自己关在门外一个安全的做法是写一个脚本先添加放行规则再修改默认策略最后删除临时的放行规则。5. 高级应用场景与实战技巧掌握了基础我们来看看iptables如何解决更复杂的问题。5.1 实现网络地址转换NAT场景一共享上网SNAT你的Linux服务器有两张网卡eth0连接公网IP:203.0.113.10eth1连接内网IP:192.168.1.1。你想让内网网段192.168.1.0/24的机器通过这台服务器上网。# 1. 启用内核IP转发 echo 1 /proc/sys/net/ipv4/ip_forward # 永久生效编辑/etc/sysctl.conf设置net.ipv4.ip_forward1然后执行sysctl -p # 2. 在nat表的POSTROUTING链上添加SNAT规则 iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -o eth0 -j SNAT --to-source 203.0.113.10 # 或者使用MASQUERADE更适用于动态获取公网IP的情况如PPPoE拨号 # iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -o eth0 -j MASQUERADE场景二端口映射DNAT将公网IP203.0.113.10的2222端口映射到内网服务器192.168.1.100的22端口SSH。iptables -t nat -A PREROUTING -d 203.0.113.10 -p tcp --dport 2222 -j DNAT --to-destination 192.168.1.100:22 # 同时因为数据包是转发给内网的所以还需要filter表的FORWARD链允许 iptables -A FORWARD -d 192.168.1.100 -p tcp --dport 22 -m state --state NEW,ESTABLISHED -j ACCEPT iptables -A FORWARD -s 192.168.1.100 -p tcp --sport 22 -m state --state ESTABLISHED -j ACCEPT5.2 连接限制与防DDoS使用limit和connlimit模块可以一定程度上缓解小型攻击。# 限制SSH每分钟最多接受3个新连接超过则丢弃 iptables -A INPUT -p tcp --dport 22 -m state --state NEW -m limit --limit 3/min --limit-burst 3 -j ACCEPT iptables -A INPUT -p tcp --dport 22 -m state --state NEW -j DROP # 限制单个IP对Web服务80端口的最大并发连接数为30 iptables -A INPUT -p tcp --dport 80 -m connlimit --connlimit-above 30 --connlimit-mask 32 -j REJECT --reject-with tcp-reset5.3 使用自定义链管理复杂规则当规则很多时使用自定义链可以让结构更清晰便于管理。# 创建一个名为“WEBSERVER”的自定义链 iptables -N WEBSERVER # 将访问80/443端口的流量跳转到自定义链处理 iptables -A INPUT -p tcp --dport 80 -j WEBSERVER iptables -A INPUT -p tcp --dport 443 -j WEBSERVER # 在自定义链中添加具体规则 iptables -A WEBSERVER -s 10.0.0.0/8 -j DROP # 拒绝整个10网段 iptables -A WEBSERVER -m state --state NEW -m limit --limit 100/second --limit-burst 200 -j ACCEPT iptables -A WEBSERVER -j RETURN # 返回主链继续匹配6. 规则持久化、管理与故障排查6.1 规则持久化让配置在重启后依然生效iptables规则默认保存在内存中重启即失效。持久化方法因发行版而异RHEL/CentOS 6使用service iptables save命令规则会保存到/etc/sysconfig/iptables。RHEL/CentOS 7 / Fedora虽然默认使用firewalld但如果你安装了iptables-services并禁用了firewalld同样可以使用service iptables save或systemctl enable iptables。Debian/Ubuntu安装iptables-persistent包。apt-get install iptables-persistent # 安装过程中会询问是否保存当前规则 # 手动保存netfilter-persistent save # 重启服务systemctl restart netfilter-persistent通用方法将规则导出到文件并在启动脚本中恢复。# 保存当前规则 iptables-save /etc/iptables.rules # 恢复规则 iptables-restore /etc/iptables.rules # 可以将恢复命令添加到/etc/rc.local确保rc.local有执行权限或创建自定义systemd服务。6.2 常见问题与排查技巧实录问题1配置完防火墙后服务器无法访问外网了。排查首先检查OUTPUT链策略和规则。iptables -L OUTPUT -n。很可能你错误地将OUTPUT策略设为了DROP或者添加了过于严格的出站规则。记住对于服务器出站策略通常设为ACCEPT然后通过具体规则限制特定出站连接。技巧在修改出站规则前可以先添加一条日志规则iptables -A OUTPUT -j LOG --log-prefix OUTPUT-DROP: 看看被阻止的出站包是什么。问题2SSH连接在规则配置后突然断开并且无法重新连接。原因这是最经典的“把自己锁在外面”的问题。你清空了规则或将INPUT默认策略设为DROP但没有预先添加允许当前SSH连接的规则。解决预防永远通过控制台或VNC操作或者使用一个“安全脚本”该脚本首先添加允许你IP的SSH规则再执行其他操作最后可选删除那条临时规则。补救如果已经锁死只能通过服务器供应商的控制台如AWS的Instance Connect阿里云的VNC登录或者重启服务器如果默认策略是ACCEPT。重启后规则会丢失如果没持久化给你一个修复窗口。问题3服务监听在端口但外部无法访问。排查步骤netstat -tlnp | grep :端口号确认服务确实在监听且监听地址是0.0.0.0所有接口而不是127.0.0.1仅本地。iptables -L INPUT -n --line-numbers仔细检查INPUT链中是否有允许该端口的规则。注意规则的顺序如果前面有一条DROP all的规则后面的允许规则就无效了。检查是否有其他防火墙如云服务商的安全组、AWS Security Groups Azure NSG阻断了流量。使用tcpdump在服务端口抓包看请求是否到达服务器tcpdump -i eth0 port 80 -n。问题4NAT端口映射不生效。排查确认/proc/sys/net/ipv4/ip_forward值为1。检查PREROUTING链的DNAT规则是否正确iptables -t nat -L PREROUTING -n。检查FORWARD链是否允许相关流量通过iptables -L FORWARD -n。NAT转换后的数据包需要经过FORWARD链。检查目标内网服务器的防火墙是否允许了转发过来的流量。问题5规则太多管理混乱。建议使用自定义链对规则进行分门别类如WEB、DB、ADMIN。编写Shell脚本来维护规则并加入大量注释。将脚本纳入版本控制如Git。考虑使用更上层的配置管理工具如Ansible它提供了优秀的iptables模块可以实现声明式的规则管理并自动处理规则顺序和持久化。对于极其复杂的网络策略可以考虑向nftables迁移它是iptables的继任者语法更统一效率更高但需评估兼容性。7. 演进与替代nftables简介与迁移考量iptables虽然强大但其语法繁杂规则膨胀后性能下降且存在iptables、ip6tables、arptables、ebtables多个工具并存的局面。Linux内核从3.13版本开始引入了nftables旨在取代iptables。nftables的核心优势统一语法一套语法同时处理IPv4、IPv6、ARP等网络层协议。更高性能使用类似虚拟机的规则集处理机制规则量大时性能更好。更简洁规则集更紧凑表达能力更强。一个简单的nftables规则示例实现之前的基础防火墙# 创建一个名为“filter”的表处理ip协议族 nft add table ip filter # 在表中创建input链hook点为input优先级为0策略为drop nft add chain ip filter input { type filter hook input priority 0\; policy drop\; } # 添加规则允许established和related连接 nft add rule ip filter input ct state established,related accept # 添加规则允许访问TCP 80端口 nft add rule ip filter input tcp dport 80 ct state new accept迁移建议对于新系统尤其是较新的发行版如CentOS 8/RHEL 8、Ubuntu 20.04可以优先学习并使用nftables。对于已有的、规则稳定且复杂的生产环境如果没有迫切的性能或管理需求不必急于迁移。iptables在可预见的未来仍会被广泛支持。学习nftables时可以利用iptables-translate和ip6tables-translate工具将现有的iptables规则转换为nftables语法作为学习和迁移的起点。iptables的深度远不止于此诸如connlimit、recent、string匹配内容过滤、setIP集合等高级模块以及通过iptables与tc流量控制结合实现QoS都是更专业的领域。但万变不离其宗牢牢掌握“表-链-规则”的核心思想理解数据包的流动路径你就能从容应对绝大多数网络访问控制的需求。防火墙配置是系统安全的骨架而iptables给了你亲手塑造这副骨架的能力。我的经验是每次配置都保持敬畏修改前做好备份和回滚计划多用-L -n --line-numbers查看多用tcpdump验证你的服务器网络就会在坚固的同时保持应有的通畅。