〇、前言
现代 Linux 发行版逐渐转向 nftables，但 iptables 仍是底层基础。理解其原理对排查 Kubernetes 网络、云平台安全组问题至关重要。
配置时务必牢记：规则顺序 > 表链职责 > 持久化，三大核心逻辑。
本文将以 iptables 为主进行简单的介绍，并详解下配置方法。
一、什么是 iptables？
1.1 iptables 简介
iptables 是 Linux 内核 Netfilter 框架的用户空间管理工具，通过四表五链结构实现数据包过滤、网络地址转换（NAT）和流量控制。
其核心特点是规则按顺序匹配、匹配即执行、默认不持久化，配置错误可能导致服务中断或安全风险。
1.2 四张规则表（按数据包处理优先级排序）
| | | | |
|---|
| raw | | | | |
| mangle | | | | |
| nat | | | | PREROUTING、POSTROUTING、OUTPUT |
| filter | | | | |
注意：nat 表处理地址转换，不决定数据包放行与否；filter 表决定放行/拒绝，不修改地址。若在 nat 表中添加 DROP 规则，规则不会生效。
1.3 五条规则链（数据包处理节点）
数据包在内核网络栈中的流动路径决定了其匹配的链：
| | |
|---|
| PREROUTING（pre routing） | | |
| INPUT（input） | | |
| FORWARD（forward） | | |
| OUTPUT（output） | | |
| POSTROUTING（post routing） | | |
规则匹配逻辑：
数据包按顺序逐条匹配规则，一旦命中即执行动作，并终止后续检查。规则顺序决定逻辑成败：若先配置 DROP 再配置 ACCEPT，ACCEPT 规则将永远不生效。
二、Linux 环境配置
2.1 基础配置流程（以 filter 表为例）
# 1）清空现有规则# 生产环境避免直接清空，应先备份：# iptables-save > /root/iptables-bak.shiptables -F # 清空 filter 表所有链iptables -t nat -F # 清空 nat 表规则# 2）设置默认策略（调试阶段建议先宽松）# 调试完成后，再收紧策略：iptables -P INPUT DROP（效果：除非明确放行，否则一律拒绝）iptables -P INPUT ACCEPT # 先允许所有入站（调试用）iptables -P FORWARD DROP # 转发链默认拒绝# 3）按逻辑顺序添加规则# 顺序示例（Web 服务器）：## 1 允许本地回环（必须最先配置）：iptables -A INPUT -i lo -j ACCEPT## 2 放行已建立连接（确保响应流量不被拦截）：iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT## 3 按需开放服务端口（如 SSH、HTTP）：iptables -A INPUT -p tcp --dport 22 -s 192.168.1.0/24 -j ACCEPT # 限制来源 IPiptables -A INPUT -p tcp --dport 80 -j ACCEPT## 4 最后添加兜底拒绝：iptables -A INPUT -j DROP # 必须放在末尾# 注意：# -A 表示追加到链尾，-I 表示插入链首（如：优先拦截恶意 IP：-I INPUT -s 1.2.3.4 -j DROP）。# 状态模块写法：新系统用 -m conntrack --ctstate，旧系统用 -m state --state
2.2 NAT 配置示例
# 1）端口转发# 将外部访问 8080 端口转发到内网 192.168.1.50:80：iptables -t nat -A PREROUTING -p tcp --dport 8080 -j DNAT --to-destination 192.168.1.50:80## -t nat：指定操作 nat 表（网络地址转换表）## -A PREROUTING：在 PREROUTING 链追加规则。该链在数据包刚进入网卡、还未进行路由判断前生效## -p tcp --dport 8080：匹配目标端口为 8080 的 TCP 协议流量## -j DNAT --to-destination 192.168.1.50:80：执行目标地址转换（DNAT），将数据包的目标 IP 和端口改写为内网主机 192.168.1.50 的 80 端口# 必须同步配置 filter 表的 FORWARD 链，否则流量被拦截：iptables -A FORWARD -d 192.168.1.50 -p tcp --dport 80 -j ACCEPT## -A FORWARD：在默认的 filter 表的 FORWARD 链追加规则。该链专门用于控制经过本机转发的数据包## -d 192.168.1.50 -p tcp --dport 80 -j ACCEPT：明确允许目标为 192.168.1.50:80 的 TCP 流量通过## 如果不加这条规则，即使 NAT 转换了地址，数据包也会因为默认防火墙策略被拦截iptables -A FORWARD -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT## -m conntrack --ctstate ESTABLISHED,RELATED：使用连接追踪模块，匹配状态为“已建立”或“相关”的连接## 这确保了内网服务器返回给外部客户端的响应数据包能够顺利通过防火墙# 2）共享上网（SNAT）# 内网 192.168.1.0/24 通过公网 IP eth0 上网：echo 1 > /proc/sys/net/ipv4/ip_forward # 开启内核转发## 临时开启 Linux 内核的 IP 转发功能## 此命令重启后会失效。若需永久生效，需编辑 /etc/sysctl.conf 文件，写入 net.ipv4.ip_forward=1，并执行 sysctl -p 使其生效iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -o eth0 -j MASQUERADE## -A POSTROUTING：在 POSTROUTING 链追加规则。该链在数据包即将离开网卡前生效## -s 192.168.1.0/24 -o eth0：匹配源网段为 192.168.1.0/24 且从 eth0 网卡（通常是外网接口）发出的数据## -j MASQUERADE：执行源地址伪装（SNAT 的一种动态形式）## 它会自动将内网数据包的源 IP 替换为 eth0 接口当前的公网 IP，这样外部网络才能正确将响应数据返回给这台网关服务器，再由服务器转发给内网主机
这套组合拳是构建 Linux 软路由和网关的标准范式：内核转发提供基础能力，NAT 表（DNAT/SNAT）负责改写数据包的源/目标地址，而 FORWARD 链则充当“交通警察”，决定这些被改写地址的数据包是否被允许放行。
2.3 在现有规则指定位置加一条、末尾加一条
# 【在指定的匹配规则后边新增一条】# 1）查看当前规则及序号：使用 --line-numbers 参数查看现有规则的行号iptables -L INPUT -n -v --line-numbers# 2）在指定位置插入新规则# 假设要在 INPUT 链的第 3 条规则之后添加新规则，那么你需要将新规则插入到第 4 个位置# 在 INPUT 链的第 4 个位置插入一条允许 80 端口的规则iptables -I INPUT 4 -p tcp --dport 80 -j ACCEPT# 注：如果不指定具体序号，-I INPUT 默认会将规则插入到链的【最顶端】，即第 1 位# 【在 INPUT 链的末尾追加一条规则】iptables -A INPUT -p tcp --dport 80 -j ACCEPT# 使用 -A 参数将新规则追加到整条链的末尾
三、特别注意事项
3.1 规则顺序与逻辑陷阱
默认策略风险：直接设置iptables -P INPUT DROP可能导致 SSH 断连（若未提前放行 SSH 规则）。安全做法：先添加 ACCEPT 规则，最后再设置默认拒绝。
状态跟踪依赖：ESTABLISHED 规则需放在服务端口规则之前，否则响应流量被拦截。
3.2 持久化配置（避免重启失效）
# CentOS/RHEL：iptables-save > /etc/sysconfig/iptablessystemctl enable iptables # 确保服务开机自启# Debian/Ubuntu：iptables-save > /etc/iptables/rules.v4apt install iptables-persistent -y # 安装持久化工具# 验证方法：重启后执行 iptables -L -n -v，检查规则是否加载。
3.3 常见错误排查
1）规则不生效
可能的原因：
规则顺序错误（如 DROP 在 ACCEPT 之前）。表链混淆（如在 filter 表配置 DNAT）。未启用连接跟踪模块（nf_conntrack）。
# 诊断命令iptables -L INPUT -n -v --line-numbers # 查看匹配计数lsmod | grep nf_conntrack # 检查状态跟踪模块
2）紧急恢复方案
若配置错误导致断连，通过控制台执行：
iptables -P INPUT ACCEPT # 临时放行所有入站iptables -F # 清空规则（谨慎使用）
3）尝试执行 iptables 脚本，报错：command not found
// 【在执行 iptables 脚本前的准备工作】// 1. 备份当前规则（以防万一需要回滚）iptables-save > /tmp/iptables_backup.rules// 2. 清空 filter 表（默认表）的所有规则和自定义链iptables -Fiptables -X// 3. 清空其他常用表（如 NAT 表）iptables -t nat -Fiptables -t nat -X// 4. 重置默认策略（建议先设为 ACCEPT，防止清空规则后自己断网）iptables -P INPUT ACCEPTiptables -P FORWARD ACCEPTiptables -P OUTPUT ACCEPT// 【尝试执行 iptables 脚本，报错】[root@localhost ~]# sudo /bin/iptables.shsudo: /bin/iptables.sh: command not found// 检查文件存在[root@localhost ~]# ls -l /bin/iptables.sh-rw-r--r-- 1 root root 1484 Jul 13 13:49 /bin/iptables.sh// 只有读（r）和写（w）权限，缺少了执行（x）权限。// 在 Linux 中，如果一个脚本没有执行权限，直接运行它时系统就会提示 command not found。// 【解决】：添加执行权限[root@localhost ~]# chmod +x /bin/iptables.sh[root@localhost ~]# ls -l /bin/iptables.sh-rwxr-xr-x 1 root root 1484 Jul 13 13:49 /bin/iptables.sh// 执行脚本[root@localhost ~]# sudo /bin/iptables.sh// 查看当前配置[root@localhost ~]# sudo iptables -LChain INPUT (policy ACCEPT)target prot opt source destination ACCEPT all -- localhost localhost ACCEPT all -- anywhere anywhere state RELATED,ESTABLISHEDACCEPT tcp -- x.x.x.x anywhere tcp dpt:mysql。。。。
3.4 配置关键点
最小权限原则：仅开放必要端口，并严格限制来源 IP（如：--dport 22 -s 192.168.1.0/24）。先查后改：操作前用iptables -L -n -v --line-numbers查看当前规则。避免直接修改默认策略：优先用 DROP 规则兜底，而非iptables -P INPUT DROP。生产环境先测试：在非关键时段配置，并通过 ping、telnet 验证连通性。备份与注释：为复杂规则添加注释（-m comment --comment "允许DBA访问"），并定期备份规则文件。
四、小小的总结
iptables 作为 Linux 防火墙核心，通过四表五链实现数据包控制。核心逻辑在于规则顺序决定生效结果，匹配即停止；四表（raw、mangle、nat、filter）按优先级处理，五链（如：PREROUTING、INPUT、FORWARD）对应数据包流向，需严格区分表链职责（如：nat 表仅转换地址，filter 表决定放行）。
配置实操需遵循“先清规则、设默认、添策略”流程：测试环境可清空规则，生产环境先备份；默认策略建议调试期设为 ACCEPT，完成后收紧为 DROP；规则顺序务必先放行基础流量（如：回环、已建立连接），再开放服务端口，最后兜底拒绝。NAT 配置需同时操作 nat 表（如：DNAT、SNAT）和 filter 表的 FORWARD 链，确保转发放行。
持久化与恢复也至关重要。通过 iptables-save 保存规则，不同系统用相应工具持久化（如：CentOS 的 /etc/sysconfig/iptables，Ubuntu 的 iptables-persistent）；配置错误时，可通过控制台快速恢复（如：iptables -P INPUT ACCEPT 或 -F 清空规则）。状态跟踪与细节方面需要注意，利用 conntrack 模块放行响应流量（-m conntrack --ctstate ESTABLISHED,RELATED）；严格限制来源 IP 与端口，添加注释提升可维护性；排查问题时用 -L -n -v --line-numbers 查看规则顺序及匹配数，检查模块加载（如：lsmod | grep nf_conntrack）。
安全实践强调最小权限原则，先测试后上线，定期备份规则文件。理解这些核心要点，可高效配置防火墙并规避常见风险。
