iptables防火墙基础：机制与架构解析

iptables作为Linux系统下基于Netfilter框架的经典防火墙工具，通过链式规则匹配实现数据包过滤、NAT转换及流量控制。其核心架构包含五条预定义链（PREROUTING、INPUT、FORWARD、OUTPUT、POSTROUTING）和用户自定义链，每条链由多条规则按优先级顺序组成。例如，INPUT链处理进入本机的数据包，而FORWARD链负责转发流量。规则匹配条件涵盖源/目的IP、端口、协议类型（TCP/UDP/ICMP）及连接状态（NEW/ESTABLISHED/RELATED），动作包括ACCEPT、DROP、REJECT、SNAT等。

基础规则配置：从入门到实战

1. 允许特定端口通信

iptables -A INPUT -p tcp --dport 22 -j ACCEPT

此规则允许外部访问本机的SSH服务（22端口）。需注意规则顺序，iptables按从上到下匹配，若将DROP规则置于前，会导致合法流量被拦截。

2. 限制ICMP流量

iptables -A INPUT -p icmp --icmp-type echo-request -m limit --limit 1/s -j ACCEPT
iptables -A INPUT -p icmp -j DROP

第一条规则限制ICMP Echo请求（ping）每秒1次，第二条规则丢弃其他ICMP流量，有效防御Ping Flood攻击。

3. 防止IP欺骗

iptables -A INPUT -s 192.168.1.0/24 -j ACCEPT
iptables -A INPUT -s 0.0.0.0/0 -j DROP

仅允许内网子网（192.168.1.0/24）访问，其他源IP均被丢弃，可阻断外部伪造源IP的攻击。

高级应用：NAT与流量整形

1. 端口转发（DNAT）

iptables -t nat -A PREROUTING -p tcp --dport 80 -j DNAT --to-destination 192.168.1.100:80

将外部访问80端口的流量转发至内网Web服务器（192.168.1.100），实现隐藏内网结构的同时提供服务。

2. SNAT与MASQUERADE

iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE

为内网主机通过eth0接口上网时动态修改源IP为公网IP，适用于动态IP场景。若为静态IP，可替换为：

iptables -t nat -A POSTROUTING -o eth0 -j SNAT --to-source 公网IP

3. 流量限速

iptables -A FORWARD -p tcp --dport 80 -m limit --limit 100/s -j ACCEPT

限制HTTP流量每秒100个包，防止突发流量占用带宽。结合tc（Traffic Control）可实现更精细的QoS控制。

企业级安全策略：多维度防护

1. 分时段访问控制

iptables -A INPUT -p tcp --dport 3306 -m time --timestart 09:00 --timestop 18:00 -j ACCEPT
iptables -A INPUT -p tcp --dport 3306 -j DROP

仅在工作时段（900）允许访问MySQL服务（3306端口），非工作时间自动阻断，降低夜间攻击风险。

2. 连接状态跟踪

iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -m conntrack --ctstate NEW -j DROP

允许已建立连接和相关联的流量（如FTP数据通道），拒绝所有新连接请求，可防御SYN Flood等攻击。

3. 地理IP封锁

结合geoip模块（需加载xt_geoip）：

iptables -A INPUT -m geoip --src-cc CN -j DROP

封锁来自特定国家（如中国）的IP，适用于国际化企业按区域隔离业务。

规则优化与维护

1. 规则排序：将高频匹配规则（如允许内网通信）置于链首，减少匹配次数。
2. 日志记录：

   iptables -A INPUT -p tcp --dport 22 -j LOG --log-prefix "SSH_ATTEMPT: "

   记录SSH登录尝试，便于审计。
3. 定期备份：

   iptables-save > /etc/iptables.rules

   恢复时使用iptables-restore < /etc/iptables.rules。
4. 性能监控：通过netstat -s查看丢包统计，iftop实时监控流量分布。

常见问题与解决方案

问题1：配置后无法访问服务
解决：检查规则顺序，确保允许规则在拒绝规则之前；使用iptables -L -n --line-numbers查看规则编号，通过iptables -D INPUT 规则号删除错误规则。

问题2：NAT转发失效
解决：确认内核已启用NAT模块（lsmod | grep nf_nat），并检查路由表（route -n）是否正确。

问题3：规则过多导致性能下降
解决：合并相似规则（如多端口允许），使用ipset管理IP黑名单，减少规则数量。

总结与建议

iptables的灵活性使其成为企业网络防护的核心工具，但需注意：

1. 最小权限原则：默认拒绝所有流量，仅开放必要端口。
2. 分层防御：结合主机防火墙（如ufw）、WAF及入侵检测系统（IDS）构建多级防护。
3. 自动化管理：通过Ansible等工具批量部署规则，避免人工配置错误。
4. 定期审计：每月检查日志，更新规则以应对新威胁。

通过合理配置iptables，企业可显著降低网络攻击风险，同时保障业务连续性。实际部署时建议先在测试环境验证规则，再逐步推广至生产环境。