Linux iptables防火墙原理与实战配置指南

1. 理解iptables防火墙的本质

在Linux系统中，iptables就像是一个站在网络入口处的严格门卫，它通过一系列规则来决定哪些数据包可以进出系统。这个"门卫"工作在操作系统内核层面，通过Netfilter框架实现对网络流量的过滤和修改。

注意：虽然现在有nftables作为iptables的替代品，但iptables仍然是目前最广泛使用的Linux防火墙解决方案，特别是在生产环境中。

iptables的核心功能可以概括为三个关键动作：

• 过滤（Filter）：决定是否允许数据包通过
• 网络地址转换（NAT）：修改数据包的源或目标地址
• 修改（Mangle）：改变数据包的其他特性（如TTL）

2. iptables的基础架构与核心概念

2.1 四表五链的体系结构

iptables的规则组织遵循"表"和"链"的层级结构：

四张表及其用途：

1. filter表：默认表，用于包过滤
2. nat表：网络地址转换
3. mangle表：特殊包修改
4. raw表：连接跟踪前的处理

五条内置链：

1. INPUT：处理进入本机的数据包
2. OUTPUT：处理从本机发出的数据包
3. FORWARD：处理经过本机路由的数据包
4. PREROUTING：数据包进入路由决策前
5. POSTROUTING：数据包离开路由决策后

2.2 规则匹配流程

当一个网络数据包到达系统时，iptables会按照特定顺序检查各个表和链中的规则：

code复制PREROUTING (raw→mangle→nat) → 路由决策 → 
FORWARD (mangle→filter) → 
POSTROUTING (mangle→nat) → 出站

对于本地生成的数据包：

code复制OUTPUT (raw→mangle→nat→filter) → 
POSTROUTING (mangle→nat) → 出站

3. 实用iptables配置指南

3.1 基本命令语法

iptables命令的基本格式：

bash复制iptables [-t 表名] 命令选项 [链名] [规则匹配条件] [-j 目标动作]

常用命令选项：

• -A：追加规则到链尾
• -I：插入规则到链首
• -D：删除规则
• -L：列出规则
• -F：清空链中所有规则
• -P：设置链的默认策略

3.2 典型配置示例

基础安全配置：

bash复制# 设置默认策略为拒绝
iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT ACCEPT

# 允许本地回环接口
iptables -A INPUT -i lo -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT

# 允许已建立的连接
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

# 允许SSH连接（端口22）
iptables -A INPUT -p tcp --dport 22 -j ACCEPT

特定IP段放行（如NAS的IPv6）：

bash复制iptables -A INPUT -s 2001:db8:abcd::/64 -j ACCEPT

只允许特定IP段访问服务：

bash复制iptables -A INPUT -p tcp --dport 80 -s 192.168.1.0/24 -j ACCEPT

4. 高级应用场景与技巧

4.1 连接跟踪与状态检测

iptables的state模块可以识别连接状态：

• NEW：新建立的连接
• ESTABLISHED：已建立的连接
• RELATED：相关联的连接（如FTP的数据连接）
• INVALID：无效的数据包

使用示例：

bash复制iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

4.2 网络地址转换(NAT)

源地址转换(SNAT)：

bash复制iptables -t nat -A POSTROUTING -o eth0 -j SNAT --to-source 1.2.3.4

目的地址转换(DNAT)：

bash复制iptables -t nat -A PREROUTING -p tcp --dport 80 -j DNAT --to-destination 192.168.1.100:8080

4.3 限速与防DDoS

限制单个IP的连接数：

bash复制iptables -A INPUT -p tcp --dport 80 -m connlimit --connlimit-above 50 -j REJECT

限制连接速率：

bash复制iptables -A INPUT -p tcp --dport 22 -m limit --limit 3/min --limit-burst 3 -j ACCEPT

5. 常见问题排查与解决方案

5.1 规则不生效的排查步骤

1. 检查规则顺序：iptables按顺序匹配规则，第一条匹配的规则生效
2. 确认表与链的选择是否正确
3. 检查默认策略（特别是INPUT链默认是ACCEPT还是DROP）
4. 使用iptables -L -n -v查看规则匹配计数器
5. 使用iptables -t nat -L -n -v查看NAT表规则

5.2 规则持久化保存

在Ubuntu/Debian上：

bash复制iptables-save > /etc/iptables.rules
echo "pre-up iptables-restore < /etc/iptables.rules" >> /etc/network/interfaces

在CentOS/RHEL上：

bash复制service iptables save

5.3 特殊系统适配

银河麒麟系统禁用iptables：

bash复制systemctl stop iptables
systemctl disable iptables

离线安装iptables（Ubuntu）：

1. 在有网络的机器上下载deb包：

bash复制apt-get download iptables iptables-persistent

2. 将deb包复制到离线机器安装：

bash复制dpkg -i iptables*.deb

6. 性能优化与安全加固

6.1 规则优化原则

1. 将最频繁匹配的规则放在前面
2. 合并相似规则，减少规则总数
3. 使用-m state模块减少重复检查
4. 避免在FORWARD链中使用复杂的匹配条件

6.2 安全最佳实践

1. 默认拒绝所有流量，然后按需开放
2. 限制管理端口（如SSH）的访问IP范围
3. 定期审计iptables规则
4. 记录异常连接尝试：

bash复制iptables -A INPUT -p tcp --dport 22 -m limit --limit 3/min -j LOG --log-prefix "SSH attack: "

6.3 IPv6的特殊考虑

当配置IPv6规则时，需要使用ip6tables命令：

bash复制ip6tables -A INPUT -p tcp --dport 80 -j ACCEPT

对于同时支持IPv4和IPv6的环境，需要维护两套规则集。可以使用工具如ferm或firehol来统一管理。