防火墙 on 吾爱主机

Linux 防火墙完全指南：UFW 与 firewalld 从入门到精通

Thu, 25 Jun 2026 11:30:00 +0000

服务器安全的第一道防线就是防火墙。Linux 下最常用的三款防火墙管理工具是 iptables、UFW 和 firewalld。本文将从对比入手，逐一深入讲解 UFW 和 firewalld 的完整用法，并通过大量实战场景帮你快速上手。

一、三大防火墙工具对比

iptables / UFW / firewalld 适用场景

工具	底层机制	适用发行版	复杂度	适用场景
iptables	Netfilter	所有 Linux	高	需要精细控制每条规则、编写脚本自动化、内核级调优
UFW	iptables/nftables	Ubuntu/Debian	低	快速配置主机防火墙、个人服务器、简单规则场景
firewalld	nftables（RHEL8+）/ iptables（RHEL7）	RHEL/CentOS/Fedora	中	企业服务器、需要 zone 隔离、动态规则管理

简而言之：

iptables：底层原始工具，功能最强大，但规则管理复杂，适合高级用户和脚本场景。
UFW：iptables 的前端封装，语法简洁，Ubuntu/Debian 用户首选。
firewalld：基于 zone 的动态管理，支持运行时/永久规则分离，RHEL 系首选。

重要说明：三者底层都是 Linux 内核的 Netfilter 框架。同一个系统上不要同时启用多个防火墙管理工具，避免规则冲突。

二、UFW 完整教程

2.1 安装与启用

# Ubuntu/Debian 通常预装，如果没有：
sudo apt update
sudo apt install ufw

# 启用 UFW（启用前务必先放行 SSH，否则远程服务器会断连！）
sudo ufw allow ssh
sudo ufw enable

# 查看状态
sudo ufw status
sudo ufw status verbose # 显示详细信息
sudo ufw status numbered # 带编号显示，方便删除规则

2.2 默认策略

# 查看默认策略
sudo ufw status verbose
# 输出示例：
# Default: deny (incoming), allow (outgoing), disabled (routed)

# 设置默认策略
sudo ufw default deny incoming # 拒绝所有入站（推荐）
sudo ufw default allow outgoing # 允许所有出站（推荐）
sudo ufw default deny routed # 拒绝转发（非路由器场景推荐）

最佳实践：默认拒绝入站，按需开放端口。这是最小权限原则的体现。

2.3 allow / deny 规则

# 允许特定端口
sudo ufw allow 80 # 允许 TCP 80
sudo ufw allow 443 # 允许 TCP 443
sudo ufw allow 8080/tcp # 仅允许 TCP 协议的 8080 端口
sudo ufw allow 53/udp # 仅允许 UDP 协议的 53 端口

# 允许端口范围
sudo ufw allow 3000:4000/tcp # 允许 TCP 3000-4000 端口段
sudo ufw allow 6000:6007/udp # 允许 UDP 6000-6007 端口段

# 拒绝特定端口
sudo ufw deny 23 # 拒绝 telnet 端口
sudo ufw deny 3306/tcp # 拒绝 MySQL 端口

# 按服务名称（需 /etc/services 中有定义）
sudo ufw allow http
sudo ufw allow https
sudo ufw allow ssh
sudo ufw allow ftp
sudo ufw allow smtp
sudo ufw allow dns

2.4 IP 限制

# 允许特定 IP 访问所有端口
sudo ufw allow from 192.168.1.100

# 允许特定 IP 访问特定端口
sudo ufw allow from 192.168.1.100 to any port 22
sudo ufw allow from 192.168.1.100 to any port 3306

# 允许特定子网
sudo ufw allow from 192.168.1.0/24
sudo ufw allow from 10.0.0.0/8 to any port 6379

# 拒绝特定 IP
sudo ufw deny from 203.0.113.50
sudo ufw deny from 203.0.113.0/24

# 指定网卡
sudo ufw allow in on eth0 to any port 80
sudo ufw allow in on eth1 from 192.168.1.0/24

2.5 应用配置文件

# 查看可用的应用配置文件
sudo ufw app list

# 查看某个应用的详细信息
sudo ufw app info 'Nginx Full'
# 输出示例：
# Profile: Nginx Full
# Title: Web Server (Nginx, HTTP + HTTPS)
# Ports:
# 80,443/tcp

# 使用应用配置文件添加规则
sudo ufw allow 'Nginx Full' # 放行 HTTP + HTTPS
sudo ufw allow 'Nginx HTTP' # 仅放行 HTTP
sudo ufw allow 'OpenSSH' # 放行 SSH

# 自定义应用配置文件
sudo vim /etc/ufw/applications.d/myapp

自定义配置文件格式：

[MyWebApp]
title=My Custom Web Application
description=My web app running on ports 8080 and 8443
ports=8080/tcp|8443/tcp

[MyDB]
title=Database Server
description=PostgreSQL and Redis
ports=5432/tcp|6379/tcp

# 重新加载应用列表
sudo ufw app update
sudo ufw app update 'MyWebApp'

# 使用自定义应用
sudo ufw allow 'MyWebApp'

2.6 删除规则

# 方法一：按规则内容删除
sudo ufw delete allow 80
sudo ufw delete deny from 203.0.113.50
sudo ufw delete allow from 192.168.1.100 to any port 3306

# 方法二：按编号删除（推荐）
sudo ufw status numbered
# 输出示例：
# [ 1] 22/tcp ALLOW IN Anywhere
# [ 2] 80/tcp ALLOW IN Anywhere
# [ 3] 443/tcp ALLOW IN Anywhere

sudo ufw delete 2 # 删除第 2 条规则

# 重置所有规则（谨慎使用！）
sudo ufw reset

2.7 日志

# 开启日志
sudo ufw logging on
sudo ufw logging low # 级别：off / low / medium / high / full
sudo ufw logging medium
sudo ufw logging high

# 日志位置
# /var/log/ufw.log
# /var/log/syslog（也会记录 UFW 日志）

# 查看日志
sudo tail -f /var/log/ufw.log
sudo grep "UFW" /var/log/syslog

# 实时监控被拒绝的连接
sudo tail -f /var/log/ufw.log | grep "BLOCK"

2.8 UFW 与 iptables 的关系

UFW 本质上是 iptables 的前端封装，所有 UFW 规则最终都会转换为 iptables 规则：

# 查看 UFW 生成的 iptables 规则
sudo iptables -L -n -v
sudo iptables -t nat -L -n -v

# UFW 的规则文件位于
# /etc/ufw/user.rules - IPv4 规则
# /etc/ufw/user6.rules - IPv6 规则
# /etc/ufw/before.rules - 在用户规则之前加载
# /etc/ufw/after.rules - 在用户规则之后加载
# /etc/ufw/sysctl.conf - 内核参数配置

# 可以直接编辑 before.rules 添加高级规则
# 例如：在 UFW 规则之前添加 NAT 规则
sudo vim /etc/ufw/before.rules

# 编辑后重新加载
sudo ufw reload

注意：不要混用 ufw 命令和直接 iptables 命令。如果需要自定义 iptables 规则，建议放在 before.rules 或 after.rules 文件中，由 UFW 统一管理。

三、firewalld 完整教程

3.1 安装与基本操作

# CentOS/RHEL 7+ 通常预装
sudo yum install firewalld # CentOS 7
sudo dnf install firewalld # CentOS 8/9、Fedora

# 启动与开机自启
sudo systemctl start firewalld
sudo systemctl enable firewalld
sudo systemctl status firewalld

# 检查是否正在运行
sudo firewall-cmd --state

# 重载配置
sudo firewall-cmd --reload

3.2 Zone（区域）概念

Zone 是 firewalld 的核心概念。每个网络接口绑定一个 zone，zone 决定了该接口的默认信任级别和允许的服务。

# 查看所有 zone
sudo firewall-cmd --get-zones
# 输出示例：block dmz drop external home internal public trusted work

# 查看当前活动的 zone 及其绑定的接口
sudo firewall-cmd --get-active-zones

# 查看默认 zone
sudo firewall-cmd --get-default-zone

# 修改默认 zone
sudo firewall-cmd --set-default-zone=public

# 将接口绑定到指定 zone
sudo firewall-cmd --zone=internal --change-interface=eth0 --permanent
sudo firewall-cmd --zone=public --change-interface=eth1 --permanent

# 查看某个 zone 的详细配置
sudo firewall-cmd --zone=public --list-all
sudo firewall-cmd --zone=public --list-all --permanent

3.3 Zone 信任级别

Zone	信任级别	说明
drop	最低	丢弃所有入站包，不回复任何信息
block	低	拒绝所有入站包，返回 ICMP 拒绝消息
public	默认	仅允许选定的入站连接（默认 zone）
external	中	用于 NAT 路由的外部网络，仅允许选定服务
dmz	中	隔离区域，仅允许选定服务
work	较高	工作网络，信任大部分计算机
home	较高	家庭网络，信任大部分计算机
internal	高	内部网络，信任大部分计算机
trusted	最高	信任所有网络连接

3.4 服务管理

# 查看所有预定义服务
sudo firewall-cmd --get-services

# 查看当前 zone 允许的服务
sudo firewall-cmd --list-services

# 添加服务（运行时生效，重启后失效）
sudo firewall-cmd --add-service=http
sudo firewall-cmd --add-service=https
sudo firewall-cmd --add-service=ssh
sudo firewall-cmd --add-service=mysql

# 添加服务（永久生效）
sudo firewall-cmd --add-service=http --permanent
sudo firewall-cmd --add-service=https --permanent

# 批量添加
sudo firewall-cmd --add-service={http,https,ssh} --permanent

# 移除服务
sudo firewall-cmd --remove-service=http --permanent

# 在指定 zone 中操作
sudo firewall-cmd --zone=public --add-service=http --permanent
sudo firewall-cmd --zone=internal --add-service=mysql --permanent

# 自定义服务
sudo vim /etc/firewalld/services/myapp.xml

自定义服务 XML 文件示例：

<?xml version="1.0" encoding="utf-8"?>
<service>
 <short>MyApp</short>
 <description>My custom web application</description>
 <port protocol="tcp" port="8080"/>
 <port protocol="tcp" port="8443"/>
</service>

# 重新加载 firewalld 使自定义服务生效
sudo firewall-cmd --reload
sudo firewall-cmd --add-service=myapp --permanent

3.5 端口管理

# 添加端口
sudo firewall-cmd --add-port=8080/tcp
sudo firewall-cmd --add-port=3000-3100/tcp
sudo firewall-cmd --add-port=53/udp

# 永久添加端口
sudo firewall-cmd --add-port=8080/tcp --permanent

# 查看开放的端口
sudo firewall-cmd --list-ports

# 移除端口
sudo firewall-cmd --remove-port=8080/tcp --permanent

# 在指定 zone 中操作
sudo firewall-cmd --zone=public --add-port=8080/tcp --permanent

3.6 富规则（Rich Rules）

富规则提供了比简单服务/端口更精细的控制能力：

# 允许特定 IP 访问特定端口
sudo firewall-cmd --add-rich-rule='rule family="ipv4" source address="192.168.1.100" port port="22" protocol="tcp" accept' --permanent

# 允许特定子网访问特定端口
sudo firewall-cmd --add-rich-rule='rule family="ipv4" source address="192.168.1.0/24" port port="3306" protocol="tcp" accept' --permanent

# 拒绝特定 IP
sudo firewall-cmd --add-rich-rule='rule family="ipv4" source address="203.0.113.50" reject' --permanent

# 允许特定 IP 每分钟最多 5 次新连接（限流）
sudo firewall-cmd --add-rich-rule='rule family="ipv4" source address="192.168.1.100" port port="22" protocol="tcp" accept limit value="5/m"' --permanent

# 允许特定 IP 段访问，并记录日志
sudo firewall-cmd --add-rich-rule='rule family="ipv4" source address="10.0.0.0/8" port port="6379" protocol="tcp" log prefix="REDIS-ACCESS: " level="info" accept' --permanent

# 查看所有富规则
sudo firewall-cmd --list-rich-rules

# 删除富规则
sudo firewall-cmd --remove-rich-rule='rule family="ipv4" source address="203.0.113.50" reject' --permanent

3.7 永久规则 vs 运行时规则

firewalld 有两套规则：运行时规则（runtime） 和 永久规则（permanent）。

# 运行时规则：立即生效，重启 firewalld 后消失
sudo firewall-cmd --add-service=http
sudo firewall-cmd --add-port=8080/tcp

# 永久规则：写入配置文件，需要 reload 或重启才生效
sudo firewall-cmd --add-service=http --permanent
sudo firewall-cmd --add-port=8080/tcp --permanent

# 查看差异
sudo firewall-cmd --list-all # 运行时
sudo firewall-cmd --list-all --permanent # 永久

# 将运行时规则持久化（保存当前运行时规则为永久规则）
sudo firewall-cmd --runtime-to-permanent

# 重新加载使永久规则生效
sudo firewall-cmd --reload

# 永久配置文件位置
# /etc/firewalld/zones/public.xml
# /etc/firewalld/firewalld.conf

最佳实践：生产环境建议总是使用 --permanent，然后 --reload。这样可以先用不带 --permanent 的命令测试，确认无误后再加 --permanent 持久化。

3.8 转发配置

# 启用 IP 转发（内核层面）
echo "net.ipv4.ip_forward = 1" | sudo tee -a /etc/sysctl.conf
sudo sysctl -p

# firewalld 端口转发（在 zone 中配置）
# 将外部 80 端口转发到内部 192.168.1.100:8080
sudo firewall-cmd --add-forward-port=port=80:proto=tcp:toport=8080:toaddr=192.168.1.100 --permanent

# 同端口不同主机的转发
sudo firewall-cmd --add-forward-port=port=443:proto=tcp:toport=443:toaddr=10.0.0.50 --permanent

# 启用伪装（NAT）
sudo firewall-cmd --add-masquerade --permanent

# 查看转发规则
sudo firewall-cmd --list-forward-ports

# 删除转发规则
sudo firewall-cmd --remove-forward-port=port=80:proto=tcp:toport=8080:toaddr=192.168.1.100 --permanent

四、UFW vs firewalld 对比表

对比项	UFW	firewalld
默认发行版	Ubuntu/Debian	RHEL/CentOS/Fedora
底层实现	iptables/nftables	nftables/iptables
配置方式	命令行为主	命令行 + XML 配置文件
核心概念	允许/拒绝规则	Zone 区域 + 服务/端口/富规则
运行时/永久	无区分，操作即持久	分离，需 `--permanent` 和 `reload`
默认策略	deny in, allow out	取决于 zone 配置
复杂度	⭐ 低	⭐⭐ 中
学习曲线	5 分钟上手	需要理解 zone 概念
精细控制	有限（需结合 iptables）	强（富规则支持条件组合）
图形界面	gufw（第三方）	firewall-config（官方）
Docker 兼容性	需额外配置	需额外配置
适合人群	个人开发者、小服务器	企业运维、多网卡服务器

选择建议：

Ubuntu/Debian 系统 → 优先用 UFW，简单高效
RHEL/CentOS/Fedora 系统 → 优先用 firewalld，功能全面
需要 zone 隔离、富规则、动态管理 → firewalld
只需要快速开关端口 → UFW

五、端口转发实战

5.1 UFW 端口转发

步骤一：编辑 sysctl 启用 IP 转发

sudo vim /etc/ufw/sysctl.conf
# 取消注释或添加：
# net/ipv4/ip_forward=1

步骤二：编辑 before.rules 添加 NAT 规则

sudo vim /etc/ufw/before.rules

在 *filter 部分之前添加 NAT 表：

# 在文件头部（*filter 之前）添加：
*nat
:PREROUTING ACCEPT [0:0]
-A PREROUTING -p tcp --dport 80 -j REDIRECT --to-port 8080
COMMIT

步骤三：修改 UFW 默认转发策略并重载

# /etc/default/ufw 中修改
sudo sed -i 's/DEFAULT_FORWARD_POLICY="DROP"/DEFAULT_FORWARD_POLICY="ACCEPT"/' /etc/default/ufw

# 或者使用 UFW 转发规则
sudo ufw route allow in on eth0 out on eth0 to 192.168.1.100 port 8080

sudo ufw reload

简化方式（使用 ufw route）：

# 允许从 eth0 转发到本地 8080
sudo ufw route allow to 127.0.0.1 port 8080 proto tcp from any

5.2 firewalld 端口转发

# 方法一：使用内建的端口转发功能

# 启用伪装（NAT 必需）
sudo firewall-cmd --add-masquerade --permanent

# 转发规则：将 80 端口转发到本地 8080
sudo firewall-cmd --add-forward-port=port=80:proto=tcp:toport=8080 --permanent

# 转发到其他主机：将 80 端口转发到 192.168.1.100 的 8080
sudo firewall-cmd --add-forward-port=port=80:proto=tcp:toport=8080:toaddr=192.168.1.100 --permanent

# 重新加载
sudo firewall-cmd --reload

# 方法二：使用富规则（更灵活）
sudo firewall-cmd --add-rich-rule='rule family="ipv4" source address="192.168.1.0/24" forward-port port="80" protocol="tcp" to-port="8080" to-addr="10.0.0.100"' --permanent

sudo firewall-cmd --reload

5.3 iptables 端口转发

# 启用 IP 转发
echo 1 | sudo tee /proc/sys/net/ipv4/ip_forward
echo "net.ipv4.ip_forward = 1" | sudo tee -a /etc/sysctl.conf
sudo sysctl -p

# 方式一：DNAT 转发到其他主机
sudo iptables -t nat -A PREROUTING -p tcp --dport 80 -j DNAT --to-destination 192.168.1.100:8080
sudo iptables -t nat -A POSTROUTING -j MASQUERADE

# 方式二：本地端口重定向
sudo iptables -t nat -A PREROUTING -p tcp --dport 80 -j REDIRECT --to-port 8080

# 方式三：使用 DNAT 转发到本地
sudo iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 80 -j DNAT --to-destination 127.0.0.1:8080
sudo iptables -A INPUT -p tcp --dport 8080 -j ACCEPT

# 保存规则（安装 iptables-persistent）
sudo apt install iptables-persistent # Debian/Ubuntu
sudo netfilter-persistent save

# CentOS/RHEL 保存方式
sudo service iptables save

六、常见场景速查

6.1 Web 服务器（Nginx/Apache）

UFW 方式：

sudo ufw allow 'Nginx Full' # 放行 80 + 443
# 或者
sudo ufw allow 80/tcp
sudo ufw allow 443/tcp
sudo ufw allow ssh
sudo ufw default deny incoming
sudo ufw enable

firewalld 方式：

sudo firewall-cmd --permanent --add-service={http,https,ssh}
sudo firewall-cmd --reload

6.2 数据库仅内网访问（MySQL/PostgreSQL/Redis）

UFW 方式：

# 允许内网段访问 MySQL
sudo ufw allow from 192.168.1.0/24 to any port 3306

# 允许内网段访问 Redis
sudo ufw allow from 192.168.1.0/24 to any port 6379

# 允许内网段访问 PostgreSQL
sudo ufw allow from 192.168.1.0/24 to any port 5432

# 确保默认策略为拒绝
sudo ufw default deny incoming

firewalld 方式：

# MySQL 只允许内网 zone 访问
sudo firewall-cmd --zone=internal --add-service=mysql --permanent

# 或使用富规则精确控制
sudo firewall-cmd --add-rich-rule='rule family="ipv4" source address="192.168.1.0/24" port port="3306" protocol="tcp" accept' --permanent
sudo firewall-cmd --add-rich-rule='rule family="ipv4" source address="192.168.1.0/24" port port="6379" protocol="tcp" accept' --permanent

# 从 public zone 移除（如果之前误加了）
sudo firewall-cmd --zone=public --remove-service=mysql --permanent
sudo firewall-cmd --reload

6.3 SSH 安全加固

UFW 方式：

# 限制 SSH 连接频率（30 秒内最多 6 次连接）
sudo ufw limit ssh
# 等价于：
sudo ufw limit 22/tcp

# 只允许特定 IP SSH 登录
sudo ufw allow from 203.0.113.10 to any port 22 proto tcp

# 只允许特定子网 SSH 登录
sudo ufw allow from 10.0.0.0/8 to any port 22 proto tcp

firewalld 方式：

# 使用富规则限流
sudo firewall-cmd --add-rich-rule='rule service name="ssh" limit value="3/m" accept' --permanent

# 只允许特定 IP SSH
sudo firewall-cmd --add-rich-rule='rule family="ipv4" source address="203.0.113.10" port port="22" protocol="tcp" accept' --permanent

# 修改 SSH 端口后放行新端口
sudo firewall-cmd --add-port=2222/tcp --permanent
sudo firewall-cmd --reload

6.4 Docker 与防火墙冲突

Docker 默认直接操作 iptables，会绕过 UFW/firewalld 的规则，这是个常见坑。

问题现象：即使 UFW 设置了 deny incoming，Docker 容器暴露的端口仍然可以从外部访问。

UFW 解决方案（推荐使用 ufw-docker）：

# 安装 ufw-docker
sudo apt install git
git clone https://github.com/chaifeng/ufw-docker.git
sudo cp ufw-docker/ufw-docker /usr/local/bin/
sudo chmod +x /usr/local/bin/ufw-docker

# 重新加载 UFW
sudo systemctl reload ufw

# 允许外部访问 Docker 容器端口
sudo ufw-docker allow 80 # 允许访问容器的 80 端口
sudo ufw-docker allow 443 # 允许访问容器的 443 端口

# 允许特定 IP 访问容器端口
sudo ufw-docker allow 3306 default # 只允许 default 网络

# 删除规则
sudo ufw-docker delete allow 80

# 查看规则
sudo ufw-docker list

firewalld 解决方案：

# 方法一：让 Docker 使用 firewalld 管理的 zone
# 编辑 Docker daemon 配置
sudo vim /etc/docker/daemon.json

{
 "iptables": false
}

# 然后使用 firewalld 手动管理 Docker 端口
sudo firewall-cmd --permanent --direct --add-rule ipv4 filter DOCKER-USER 0 -i docker0 -j ACCEPT
sudo firewall-cmd --permanent --direct --add-rule ipv4 filter DOCKER-USER 0 ! -i docker0 -p tcp --dport 8080 -j ACCEPT
sudo firewall-cmd --reload

方法二：修改 before.rules（UFW 方案替代）

sudo vim /etc/ufw/after.rules
# 在文件末尾添加：

*nat
:POSTROUTING ACCEPT [0:0]
-A POSTROUTING -s 172.16.0.0/12 ! -o docker0 -j MASQUERADE
COMMIT

sudo ufw reload

七、注意事项

7.1 远程操作防火墙的安全提示

# ⚠️ 永远先放行 SSH 再启用防火墙！
# 错误示范（会导致服务器失联）：
sudo ufw enable # 如果默认策略是 deny，SSH 被切断
sudo systemctl start firewalld # 如果 public zone 没有 ssh 服务

# 正确示范：
sudo ufw allow ssh
sudo ufw enable

7.2 规则顺序很重要

UFW：规则按添加顺序排列，但无编号管理时不方便调整。建议用 status numbered 查看并用编号删除。
firewalld：规则评估顺序为富规则 → 服务 → 端口，更具体的规则优先。

7.3 不要同时使用多个防火墙工具

# 检查当前活跃的防火墙
sudo ufw status
sudo systemctl status firewalld
sudo iptables -L -n

# 如果从 firewalld 迁移到 iptables，先禁用 firewalld
sudo systemctl stop firewalld
sudo systemctl disable firewalld

# 反之亦然
sudo ufw disable

7.4 备份与恢复

# UFW 备份
sudo cp -r /etc/ufw /etc/ufw.backup
sudo cp /etc/default/ufw /etc/default/ufw.backup

# UFW 恢复
sudo cp -r /etc/ufw.backup/* /etc/ufw/
sudo ufw reload

# firewalld 备份
sudo cp -r /etc/firewalld /etc/firewalld.backup

# firewalld 恢复
sudo cp -r /etc/firewalld.backup/* /etc/firewalld/
sudo firewall-cmd --reload

7.5 IPv6 支持

# UFW 自动启用 IPv6（如果 /etc/default/ufw 中 IPV6=yes）
# UFW 的 IPv6 规则存储在 /etc/ufw/user6.rules

# firewalld 默认支持 IPv6
sudo firewall-cmd --add-rich-rule='rule family="ipv6" source address="::1" port port="80" protocol="tcp" accept'

7.6 排错技巧

# 查看当前生效的规则
# UFW
sudo ufw status verbose
sudo iptables -L -n -v | head -40

# firewalld
sudo firewall-cmd --list-all
sudo firewall-cmd --list-all --permanent
sudo nft list ruleset # CentOS 9 / RHEL 9 查看 nftables 规则

# 测试端口连通性（从客户端）
nc -zv server_ip 22 # 测试 TCP 端口
telnet server_ip 80 # 测试 TCP 端口
nmap -p 22,80,443 server_ip # 扫描多个端口

# 检查服务是否监听
sudo ss -tlnp # 查看所有 TCP 监听端口
sudo ss -ulnp # 查看所有 UDP 监听端口
sudo netstat -tlnp # 传统方式（需安装 net-tools）

总结

你需要做什么	用 UFW	用 firewalld
放行 HTTP/HTTPS	`ufw allow 80,443`	`firewall-cmd --add-service={http,https} --permanent`
仅内网访问数据库	`ufw allow from 192.168.1.0/24 to any port 3306`	富规则指定 source 地址
限制 SSH 连接频率	`ufw limit ssh`	富规则 + limit
查看所有规则	`ufw status numbered`	`firewall-cmd --list-all`
持久化	自动持久	加 `--permanent` 后 `--reload`
端口转发	编辑 before.rules	`firewall-cmd --add-forward-port`

防火墙配置是服务器安全的基石。建议在每台新服务器部署时就把防火墙配置纳入初始化流程，避免裸奔上线。记住三条原则：默认拒绝、按需开放、定期审计。

Linux iptables 防火墙与端口转发完全指南

Thu, 25 Jun 2026 11:00:00 +0000

Linux iptables 防火墙与端口转发完全指南

iptables 是 Linux 系统中最经典、最强大的防火墙管理工具之一，几乎所有 Linux 运维工程师都需要熟练掌握。本文将从原理到实战，全面讲解 iptables 的使用方法。

一、iptables 与 netfilter 的关系

很多初学者容易混淆 iptables 和 netfilter，它们的关系如下：

netfilter 是 Linux 内核中的一个框架，它在内核网络协议栈的多个关键位置设置了"钩子点"（hooks），允许内核模块注册回调函数来处理数据包。
iptables 是运行在用户空间的命令行工具，用于向 netfilter 框架中添加、删除、查看规则。

简单来说：

用户空间： iptables（用户态管理工具） ←→ libipq / libiptc（库）
 ↕
内核空间： netfilter（内核框架） → 钩子点 → 规则表 → 链 → 规则

一句话总结：netfilter 是内核态的包过滤框架，iptables 是用户态的规则管理工具。iptables 通过内核接口将规则写入 netfilter。

二、四表五链详解

2.1 四表（Tables）

iptables 用"表"来组织不同功能的规则：

表名	功能	包含的链
filter	过滤数据包（默认表）	INPUT, OUTPUT, FORWARD
nat	网络地址转换	PREROUTING, OUTPUT, POSTROUTING
mangle	修改数据包头部信息（TTL、TOS 等）	全部五条链
raw	连接跟踪豁免，用于处理不期望被跟踪的包	PREROUTING, OUTPUT

表的优先级（数据包经过多个表时的处理顺序）：

raw → mangle → nat → filter

2.2 五链（Chains）

链是数据包经过内核网络协议栈时触发的检查点：

链名	触发时机	适用场景
PREROUTING	数据包进入路由判断之前	DNAT、raw 豁免
INPUT	数据包目的地是本机	保护本机服务
FORWARD	数据包需要转发（非本机目的地）	路由器/网关场景
OUTPUT	本机产生的出站数据包	限制本机出站
POSTROUTING	数据包离开本机之前（路由之后）	SNAT、MASQUERADE

2.3 表与链的对应关系

┌──────────┬─────────────────────────────────────┐
│ 表名 │ 包含的链 │
├──────────┼─────────────────────────────────────┤
│ raw │ PREROUTING, OUTPUT │
│ mangle │ PREROUTING, INPUT, FORWARD, │
│ │ OUTPUT, POSTROUTING │
│ nat │ PREROUTING, OUTPUT, POSTROUTING │
│ filter │ INPUT, FORWARD, OUTPUT │
└──────────┴─────────────────────────────────────┘

三、数据包匹配流程

理解数据包在 iptables 中的流转路径是正确配置规则的关键。

3.1 入站数据包（目标是本机）

网卡收到数据包
 │
 ▼
PREROUTING 链
 ├── raw 表
 ├── mangle 表
 └── nat 表（DNAT）
 │
 ▼
路由判断：目的地是本机？
 │ 是
 ▼
INPUT 链
 ├── mangle 表
 └── filter 表
 │
 ▼
 本机进程处理

3.2 转发数据包（目标不是本机）

网卡收到数据包
 │
 ▼
PREROUTING 链
 │
 ▼
路由判断：目的地不是本机
 │
 ▼
FORWARD 链
 ├── mangle 表
 └── filter 表
 │
 ▼
POSTROUTING 链
 ├── mangle 表
 └── nat 表（SNAT/MASQUERADE）
 │
 ▼
 网卡发出

3.3 本机发出的数据包

本机进程产生数据包
 │
 ▼
OUTPUT 链
 ├── raw 表
 ├── mangle 表
 ├── nat 表（DNAT/OUTPUT）
 └── filter 表
 │
 ▼
POSTROUTING 链
 │
 ▼
 网卡发出

规则匹配原则：在同一条链中，数据包按规则顺序逐条匹配。一旦匹配成功，就执行该规则的控制类型（如 ACCEPT、DROP），并且不再继续匹配后续规则（LOG 除外）。如果所有规则都不匹配，则执行该链的默认策略。

四、常用命令语法

4.1 命令基本格式

iptables [-t 表名] 管理选项 [链名] [匹配条件] [-j 控制类型]

-t 表名：指定操作的表，默认为 filter
管理选项：增删查改规则
链名：指定操作的链
匹配条件：数据包的匹配特征
-j 控制类型：匹配后的动作

4.2 管理选项速查

追加规则（-A）

在链的末尾追加一条规则：

# 允许所有来自 192.168.1.0/24 网段的 SSH 连接
iptables -A INPUT -s 192.168.1.0/24 -p tcp --dport 22 -j ACCEPT

插入规则（-I）

在链的指定位置插入规则（默认第 1 条）：

# 在 INPUT 链的第 1 位插入一条允许 loopback 的规则
iptables -I INPUT 1 -i lo -j ACCEPT

# 不指定序号，默认插入到第 1 位
iptables -I INPUT -s 10.0.0.1 -j ACCEPT

删除规则（-D）

删除指定规则：

# 按规则内容删除
iptables -D INPUT -s 192.168.1.0/24 -p tcp --dport 22 -j ACCEPT

# 按序号删除（先用 -L --line-numbers 查看序号）
iptables -D INPUT 3

替换规则（-R）

替换指定位置的规则：

# 将 INPUT 链第 2 条规则替换为新规则
iptables -R INPUT 2 -s 192.168.1.100 -p tcp --dport 80 -j ACCEPT

查看规则（-L）

# 查看所有规则（默认 filter 表）
iptables -L

# 显示详细信息（含包计数器和字节计数器）
iptables -L -v

# 以数字形式显示地址和端口（不进行 DNS 解析，速度更快）
iptables -L -v -n

# 显示规则序号
iptables -L -v -n --line-numbers

# 查看指定表的规则
iptables -t nat -L -v -n

# 查看指定链的规则
iptables -L INPUT -v -n

# 以精确命令格式显示（可直接复制用来恢复规则）
iptables -S
iptables -S INPUT

清空规则（-F）

# 清空 filter 表的所有规则
iptables -F

# 清空指定表的所有规则
iptables -t nat -F

# 清空指定链的规则
iptables -F INPUT

设置默认策略（-P）

# 设置 INPUT 链默认策略为 DROP（丢弃）
iptables -P INPUT DROP

# 设置 FORWARD 链默认策略为 ACCEPT
iptables -P FORWARD ACCEPT

# 设置 OUTPUT 链默认策略为 ACCEPT
iptables -P OUTPUT ACCEPT

⚠️ 注意：-P 只能设置为 ACCEPT 或 DROP，不能设置为 REJECT。

新建自定义链（-N）、重命名（-E）、删除（-X）

# 创建自定义链
iptables -N MY_CHAIN

# 在自定义链中添加规则
iptables -A MY_CHAIN -s 192.168.1.0/24 -j ACCEPT
iptables -A MY_CHAIN -j DROP

# 将自定义链挂载到 INPUT 链
iptables -A INPUT -j MY_CHAIN

# 重命名自定义链
iptables -E MY_CHAIN CUSTOM_RULES

# 删除自定义链（必须先清空链中的规则，并且没有引用）
iptables -X CUSTOM_RULES

五、匹配条件

5.1 协议匹配（-p）

# 匹配 TCP 协议
iptables -A INPUT -p tcp -j ACCEPT

# 匹配 UDP 协议
iptables -A INPUT -p udp -j ACCEPT

# 匹配 ICMP 协议（ping）
iptables -A INPUT -p icmp -j ACCEPT

# 使用协议编号（可查看 /etc/protocols）
iptables -A INPUT -p 6 -j ACCEPT # 6 = TCP

5.2 地址匹配（-s / -d）

# 源地址匹配
iptables -A INPUT -s 192.168.1.100 -j ACCEPT
iptables -A INPUT -s 192.168.1.0/24 -j ACCEPT
iptables -A INPUT -s 10.0.0.0/8 -j DROP

# 目标地址匹配
iptables -A OUTPUT -d 8.8.8.8 -j ACCEPT
iptables -A OUTPUT -d 192.168.0.0/16 -j ACCEPT

# 排除某个地址（取反）
iptables -A INPUT ! -s 192.168.1.0/24 -j DROP

5.3 端口匹配（–sport / –dport）

# 目标端口匹配（需要配合 -p tcp 或 -p udp）
iptables -A INPUT -p tcp --dport 80 -j ACCEPT
iptables -A INPUT -p tcp --dport 443 -j ACCEPT

# 源端口匹配
iptables -A OUTPUT -p tcp --sport 80 -j ACCEPT

# 多端口匹配（逗号分隔）
iptables -A INPUT -p tcp -m multiport --dports 80,443,8080 -j ACCEPT

# 端口范围
iptables -A INPUT -p tcp --dport 1024:65535 -j ACCEPT
iptables -A INPUT -p tcp --dport 8000:9000 -j ACCEPT

5.4 网络接口匹配（-i / -o）

# 入站接口
iptables -A INPUT -i eth0 -j ACCEPT
iptables -A INPUT -i lo -j ACCEPT # loopback 回环接口

# 出站接口
iptables -A OUTPUT -o eth0 -j ACCEPT

# 转发时的入/出接口
iptables -A FORWARD -i eth0 -o eth1 -j ACCEPT

5.5 状态匹配（-m state / -m conntrack）

# 使用 state 模块
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -m state --state NEW -p tcp --dport 22 -j ACCEPT

# 使用更现代的 conntrack 模块
iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -m conntrack --ctstate NEW -p tcp --dport 80 -j ACCEPT
iptables -A INPUT -m conntrack --ctstate INVALID -j DROP

连接状态说明：

状态	含义
NEW	新建连接（第一个包）
ESTABLISHED	已建立的连接（双向有流量）
RELATED	与已建立连接相关的（如 FTP 数据通道）
INVALID	无法识别或无效的数据包

最佳实践：允许 ESTABLISHED 和 RELATED 状态的数据包，是构建有状态防火墙的基础。

5.6 速率限制匹配（-m limit / -m hashlimit）

# limit 模块：限制匹配速率
# 每秒最多 3 个 ICMP 包，允许突发 5 个
iptables -A INPUT -p icmp --icmp-type echo-request -m limit --limit 3/s --limit-burst 5 -j ACCEPT
iptables -A INPUT -p icmp --icmp-type echo-request -j DROP

# 限制每分钟最多 10 个新 SSH 连接
iptables -A INPUT -p tcp --dport 22 -m conntrack --ctstate NEW -m limit --limit 10/minute --limit-burst 3 -j ACCEPT

# recent 模块：基于 IP 记录连接频率
# 60 秒内同一个 IP 最多 5 次新 SSH 连接
iptables -A INPUT -p tcp --dport 22 -m conntrack --ctstate NEW -m recent --set --name SSH
iptables -A INPUT -p tcp --dport 22 -m conntrack --ctstate NEW -m recent --update --seconds 60 --hitcount 5 --name SSH -j DROP

5.7 其他常用匹配模块

# 字符串匹配：阻止包含特定字符串的数据包
iptables -A INPUT -p tcp --dport 80 -m string --string "malware" --algo bm -j DROP

# MAC 地址匹配
iptables -A INPUT -m mac --mac-source 00:11:22:33:44:55 -j ACCEPT

# 时间匹配：只在工作时间（周一到周五 9:00-18:00）允许访问
iptables -A INPUT -p tcp --dport 80 -m time --timestart 09:00 --timestop 18:00 --weekdays Mon,Tue,Wed,Thu,Fri -j ACCEPT

# TTL 匹配
iptables -A INPUT -m ttl --ttl-eq 64 -j ACCEPT

六、控制类型（Targets）

6.1 ACCEPT

允许数据包通过。

iptables -A INPUT -p tcp --dport 80 -j ACCEPT

6.2 DROP

静默丢弃数据包，不向发送方返回任何信息。安全性较高，但会导致连接超时。

iptables -A INPUT -s 10.0.0.5 -j DROP

6.3 REJECT

丢弃数据包并向发送方返回一个 ICMP 错误消息（如 port-unreachable）。对调用者友好，但会暴露防火墙存在。

# 默认返回 port-unreachable
iptables -A INPUT -s 10.0.0.5 -j REJECT

# 指定返回的 ICMP 类型
iptables -A INPUT -s 10.0.0.5 -j REJECT --reject-with icmp-host-unreachable
iptables -A INPUT -p tcp --dport 23 -j REJECT --reject-with tcp-reset

6.4 LOG

将匹配的数据包记录到系统日志（/var/log/messages 或 /var/log/kern.log），然后继续匹配下一条规则。

# 记录所有被丢弃的入站包
iptables -A INPUT -j LOG --log-prefix "IPT-DROP: " --log-level 4

# 记录新 SSH 连接
iptables -A INPUT -p tcp --dport 22 -m conntrack --ctstate NEW -j LOG --log-prefix "IPT-SSH-NEW: "

# 配合 limit 避免日志洪水
iptables -A INPUT -j LOG --log-prefix "IPT-INPUT: " --log-level 4 -m limit --limit 5/minute

日志查看：tail -f /var/log/messages 或 tail -f /var/log/kern.log 或 journalctl -k -f

6.5 自定义链跳转

# 将匹配条件的包交给自定义链处理
iptables -A INPUT -p tcp -m multiport --dports 80,443 -j WEB_CHAIN

七、NAT 与端口转发

7.1 开启 IP 转发

作为路由器或进行 NAT 转发时，必须先开启内核的 IP 转发功能：

# 临时生效（重启后失效）
echo 1 > /proc/sys/net/ipv4/ip_forward
# 或
sysctl -w net.ipv4.ip_forward=1

# 永久生效：编辑 /etc/sysctl.conf
echo "net.ipv4.ip_forward = 1" >> /etc/sysctl.conf
sysctl -p

# 验证
cat /proc/sys/net/ipv4/ip_forward
# 输出 1 表示已开启

7.2 SNAT（源地址转换）

用于内网主机通过网关访问外网时，将数据包的源地址替换为网关的公网 IP。

适用场景：内网所有主机通过一个公网 IP 上网。

# 将来自 192.168.1.0/24 网段的数据包源地址转换为网关的公网 IP 203.0.113.1
iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -o eth0 -j SNAT --to-source 203.0.113.1

# 多个公网 IP 做 SNAT（自动分配）
iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -o eth0 -j SNAT --to-source 203.0.113.1-203.0.113.10

# 指定端口范围
iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -o eth0 -p tcp -j SNAT --to-source 203.0.113.1:10000-20000

7.3 MASQUERADE（地址伪装）

自动使用出站接口的 IP 地址作为源地址，适用于动态 IP（如拨号上网、DHCP）场景。

# 适用于外网 IP 不固定的场景
iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -o ppp0 -j MASQUERADE

# 带端口范围的伪装
iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -o eth0 -p tcp -j MASQUERADE --to-ports 1024-65535

SNAT vs MASQUERADE：SNAT 性能更好，适用于固定公网 IP；MASQUERADE 适用于动态 IP，但性能略差（每次都需要查询接口 IP）。

7.4 DNAT（目标地址转换/端口转发）

将外部访问网关某个端口的数据包目标地址转发到内网指定主机。

场景 1：将外部 8080 端口转发到内网 Web 服务器

# 将访问网关 8080 端口的流量转发到内网 192.168.1.100 的 80 端口
iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 8080 -j DNAT --to-destination 192.168.1.100:80

# 同时需要允许 FORWARD 链转发该流量
iptables -A FORWARD -i eth0 -o eth1 -p tcp --dport 80 -d 192.168.1.100 -j ACCEPT
iptables -A FORWARD -i eth1 -o eth0 -m state --state ESTABLISHED,RELATED -j ACCEPT

场景 2：将整个端口段转发

# 将外部 3000-4000 端口范围转发到内网主机对应端口
iptables -t nat -A PREROUTING -p tcp --dport 3000:4000 -j DNAT --to-destination 192.168.1.100

场景 3：负载均衡（简单轮询）

# 以概率方式将流量分配到不同的后端服务器
iptables -t nat -A PREROUTING -p tcp --dport 80 -m statistic --mode random --probability 0.5 -j DNAT --to-destination 192.168.1.101:80
iptables -t nat -A PREROUTING -p tcp --dport 80 -j DNAT --to-destination 192.168.1.102:80

7.5 完整的 NAT 网关示例

#!/bin/bash
# NAT 网关配置脚本
# eth0 = 外网接口（203.0.113.1）
# eth1 = 内网接口（192.168.1.1）

# 清空规则
iptables -F
iptables -t nat -F
iptables -X

# 开启 IP 转发
echo 1 > /proc/sys/net/ipv4/ip_forward

# 默认策略
iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT ACCEPT

# 允许 loopback
iptables -A INPUT -i lo -j ACCEPT

# 允许已建立和相关连接
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT

# 允许内网到外网的转发
iptables -A FORWARD -i eth1 -o eth0 -j ACCEPT

# NAT：内网通过网关上网
iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -o eth0 -j SNAT --to-source 203.0.113.1

# 端口转发：外网 8080 → 内网 192.168.1.100:80
iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 8080 -j DNAT --to-destination 192.168.1.100:80
iptables -A FORWARD -i eth0 -o eth1 -p tcp -d 192.168.1.100 --dport 80 -j ACCEPT

# 允许 SSH 访问网关本身
iptables -A INPUT -p tcp --dport 22 -j ACCEPT

echo "NAT 网关配置完成"

八、规则备份与恢复

iptables 规则默认保存在内存中，重启后会丢失。以下是持久化方案。

8.1 手动备份与恢复

# 备份所有表的规则
iptables-save > /opt/data/iptables-backup.rules

# 备份指定表的规则
iptables-save -t nat > /opt/data/iptables-nat-backup.rules

# 以可读格式备份（带注释）
iptables-save -c > /opt/data/iptables-backup-with-counters.rules

# 恢复规则
iptables-restore < /opt/data/iptables-backup.rules

# 恢复时清空现有规则再导入
iptables-restore -c < /opt/data/iptables-backup.rules

8.2 备份文件格式示例

# 查看备份文件内容
cat /opt/data/iptables-backup.rules

输出类似：

# Generated by iptables-save v1.8.9
*filter
:INPUT DROP [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
-A INPUT -i lo -j ACCEPT
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -p tcp -m tcp --dport 22 -j ACCEPT
COMMIT
# Completed
*nat
:PREROUTING ACCEPT [0:0]
:INPUT ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
:POSTROUTING ACCEPT [0:0]
-A POSTROUTING -s 192.168.1.0/24 -o eth0 -j MASQUERADE
COMMIT
# Completed

8.3 使用发行版工具持久化

Debian / Ubuntu：

# 安装持久化工具
apt install iptables-persistent

# 保存当前规则
netfilter-persistent save

# 加载规则
netfilter-persistent reload

# 规则文件位置
cat /etc/iptables/rules.v4 # IPv4
cat /etc/iptables/rules.v6 # IPv6

CentOS / RHEL / Fedora：

# CentOS 7 及之前
service iptables save
# 规则保存到 /etc/sysconfig/iptables

# 或手动保存
iptables-save > /etc/sysconfig/iptables

# 开机自动加载
systemctl enable iptables

8.4 使用脚本管理规则

#!/bin/bash
# /opt/data/iptables-setup.sh — iptables 规则管理脚本

IPTABLES_SAVE="/opt/data/iptables-backup.rules"

case "$1" in
 save)
 echo "备份 iptables 规则..."
 iptables-save > "$IPTABLES_SAVE"
 echo "已保存到 $IPTABLES_SAVE"
 ;;
 restore)
 echo "恢复 iptables 规则..."
 iptables-restore < "$IPTABLES_SAVE"
 echo "规则已恢复"
 ;;
 show)
 echo "当前 iptables 规则："
 iptables -L -v -n --line-numbers
 echo ""
 echo "NAT 规则："
 iptables -t nat -L -v -n --line-numbers
 ;;
 flush)
 echo "清空所有规则..."
 iptables -F
 iptables -t nat -F
 iptables -t mangle -F
 iptables -X
 iptables -P INPUT ACCEPT
 iptables -P FORWARD ACCEPT
 iptables -P OUTPUT ACCEPT
 echo "规则已清空"
 ;;
 *)
 echo "用法: $0 {save|restore|show|flush}"
 exit 1
 ;;
esac

九、实用综合示例

9.1 Web 服务器防火墙配置

#!/bin/bash
# Web 服务器安全防火墙规则

# 清空现有规则
iptables -F
iptables -X

# 默认策略：入站拒绝，出站允许
iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT ACCEPT

# 允许 loopback 接口
iptables -A INPUT -i lo -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT

# 允许已建立和相关连接
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

# 允许 SSH（限制来源网段）
iptables -A INPUT -p tcp -s 10.0.0.0/8 --dport 22 -m state --state NEW -m limit --limit 3/minute --limit-burst 5 -j ACCEPT

# 允许 HTTP 和 HTTPS
iptables -A INPUT -p tcp -m multiport --dports 80,443 -m state --state NEW -j ACCEPT

# 允许 ICMP（ping）
iptables -A INPUT -p icmp --icmp-type echo-request -m limit --limit 1/s --limit-burst 4 -j ACCEPT

# 防 SYN Flood 攻击
iptables -A INPUT -p tcp --syn -m limit --limit 25/s --limit-burst 50 -j ACCEPT
iptables -A INPUT -p tcp --syn -j DROP

# 防端口扫描：标记并丢弃 XMAS 和 NULL 扫描
iptables -A INPUT -p tcp --tcp-flags ALL ALL -j DROP # XMAS scan
iptables -A INPUT -p tcp --tcp-flags ALL NONE -j DROP # NULL scan
iptables -A INPUT -p tcp --tcp-flags SYN,RST SYN,RST -j DROP

# 记录并丢弃其他所有流量
iptables -A INPUT -j LOG --log-prefix "IPT-INPUT-DROP: " --log-level 4 -m limit --limit 5/minute
iptables -A INPUT -j DROP

9.2 内网穿透（跳板机配置）

场景：通过公网跳板机（203.0.113.1）将 SSH 连接转发到内网服务器（192.168.1.100）。

#!/bin/bash
# 跳板机 iptables 配置

# 开启转发
echo 1 > /proc/sys/net/ipv4/ip_forward

# 外部通过 2222 端口访问跳板机，转发到内网 192.168.1.100 的 22 端口
iptables -t nat -A PREROUTING -p tcp --dport 2222 -j DNAT --to-destination 192.168.1.100:22

# 允许转发该流量
iptables -A FORWARD -p tcp -d 192.168.1.100 --dport 22 -m state --state NEW -j ACCEPT
iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT

# SNAT 以便回程包能正确返回
iptables -t nat -A POSTROUTING -o eth1 -p tcp -d 192.168.1.100 --dport 22 -j SNAT --to-source 192.168.1.1

客户端连接：

ssh -p 2222 user@203.0.113.1 # 实际连接到内网 192.168.1.100

9.3 多服务端口转发

#!/bin/bash
# 将多个外部端口转发到不同的内网服务

# 开启转发
echo 1 > /proc/sys/net/ipv4/ip_forward

# SSH → 192.168.1.100:22
iptables -t nat -A PREROUTING -p tcp --dport 2222 -j DNAT --to-destination 192.168.1.100:22

# MySQL → 192.168.1.200:3306
iptables -t nat -A PREROUTING -p tcp --dport 3306 -j DNAT --to-destination 192.168.1.200:3306

# Redis → 192.168.1.200:6379（仅内网可访问）
iptables -t nat -A PREROUTING -s 10.0.0.0/8 -p tcp --dport 6379 -j DNAT --to-destination 192.168.1.200:6379

# Web HTTP → 192.168.1.100:80
iptables -t nat -A PREROUTING -p tcp --dport 80 -j DNAT --to-destination 192.168.1.100:80

# Web HTTPS → 192.168.1.100:443
iptables -t nat -A PREROUTING -p tcp --dport 443 -j DNAT --to-destination 192.168.1.100:443

# 允许转发
iptables -A FORWARD -i eth0 -o eth1 -j ACCEPT
iptables -A FORWARD -i eth1 -o eth0 -m state --state ESTABLISHED,RELATED -j ACCEPT

# SNAT
iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -o eth0 -j MASQUERADE

9.4 Docker 容器 + iptables 注意事项

# Docker 默认会向 iptables 添加自己的规则链（DOCKER、DOCKER-ISOLATION 等）
# 查看 Docker 相关规则
iptables -L -n | grep -i docker
iptables -t nat -L -n | grep -i docker

# ⚠️ 不要使用 iptables -F 清空所有规则，否则会破坏 Docker 网络
# 正确做法：只操作自定义规则或使用自定义链

# 如果需要限制 Docker 容器的网络访问
# DOCKER-USER 链是在 Docker 自定义链之前执行的，适合添加自定义规则
iptables -I DOCKER-USER -i eth0 -p tcp --dport 3306 -j DROP

十、注意事项

10.1 避免 SSH 锁定

在远程服务器上配置 iptables 时，务必确保 SSH 端口规则在 DROP 策略之前添加：

# ❌ 错误顺序：先设置 DROP 策略，SSH 会断开
iptables -P INPUT DROP
iptables -A INPUT -p tcp --dport 22 -j ACCEPT # 已经连不上了

# ✅ 正确顺序：先添加允许规则，再设置默认策略
iptables -A INPUT -p tcp --dport 22 -j ACCEPT
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -P INPUT DROP

或者使用 cron 定时任务 作为安全网：

# 添加一个 5 分钟后自动恢复的安全措施
echo "sleep 300 && iptables -P INPUT ACCEPT && iptables -F" | at now

10.2 规则顺序很重要

# ❌ 规则顺序错误：先 DROP 了所有包，后面的 ACCEPT 永远不会生效
iptables -A INPUT -j DROP
iptables -A INPUT -p tcp --dport 22 -j ACCEPT # 永远执行不到

# ✅ 正确顺序：先精确规则，后宽泛规则
iptables -A INPUT -p tcp --dport 22 -j ACCEPT
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -j DROP

10.3 DROP vs REJECT 的选择

DROP：静默丢弃，安全性高，但客户端会等待超时。适合面向公网的防护。
REJECT：明确拒绝，客户端能立即收到错误。适合内网或调试场景。

# 公网服务器：对外部非法流量使用 DROP
iptables -A INPUT -p tcp --dport 3306 -j DROP

# 内网服务器：对内部服务使用 REJECT（方便排查问题）
iptables -A INPUT -s 192.168.1.0/24 -p tcp --dport 3306 -j REJECT --reject-with tcp-reset

10.4 保存规则！

# 每次修改规则后都要保存，否则重启后丢失！

# Debian/Ubuntu
netfilter-persistent save

# CentOS/RHEL
service iptables save

# 通用方法
iptables-save > /etc/iptables/rules.v4

10.5 不要盲目清空规则

# ⚠️ 在生产环境慎用！这会清空所有规则，包括 Docker、Kubernetes 等的规则
iptables -F

# 更安全的做法：只清空指定链或自定义规则
iptables -F INPUT
iptables -F FORWARD

# 或者先备份，再操作
iptables-save > /tmp/before-change.rules
iptables -F
# ... 添加新规则 ...
# 出问题时恢复
iptables-restore < /tmp/before-change.rules

10.6 调试技巧

# 查看数据包匹配情况（带计数器）
iptables -L -v -n
# 如果 pkts 和 bytes 都是 0，说明规则没有被匹配

# 用 LOG 规则跟踪数据包
iptables -I INPUT 1 -j LOG --log-prefix "IPT-DEBUG: "
# 查看日志
tail -f /var/log/kern.log | grep "IPT-DEBUG"

# 测试后删除 LOG 规则
iptables -D INPUT 1

# 模拟规则匹配（使用 iptables-apply，如果可用）
# 它会在超时后自动回滚，避免锁定
iptables-apply -t 60 /tmp/new-rules.txt

10.7 性能建议

将最常匹配的规则放在链的前面，减少遍历次数
使用 -m set + ipset 管理大量 IP 地址比逐条规则效率高得多
对于大量端口，使用 -m multiport 而不是写多条规则
NAT 规则在 nat 表中处理，不要放在 filter 表

# 使用 ipset 管理大量 IP
ipset create blacklist hash:net
ipset add blacklist 10.0.0.0/8
ipset add blacklist 172.16.0.0/12
iptables -A INPUT -m set --match-set blacklist src -j DROP

# 持久化 ipset
ipset save > /etc/ipset.conf
ipset restore < /etc/ipset.conf

速查：常用 iptables 命令汇总

# ===== 规则管理 =====
iptables -A INPUT ... # 追加规则
iptables -I INPUT 1 ... # 插入规则
iptables -D INPUT 1 # 删除规则
iptables -R INPUT 1 ... # 替换规则
iptables -F # 清空规则

# ===== 查看规则 =====
iptables -L -v -n --line-numbers # 查看详细规则（带序号）
iptables -S # 以命令格式输出规则
iptables -t nat -L -v -n # 查看 NAT 规则

# ===== 策略设置 =====
iptables -P INPUT DROP # 设置默认策略
iptables -P FORWARD ACCEPT
iptables -P OUTPUT ACCEPT

# ===== 备份恢复 =====
iptables-save > rules.bak # 备份
iptables-restore < rules.bak # 恢复

# ===== 常见放行 =====
iptables -A INPUT -i lo -j ACCEPT # loopback
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT # 已建立连接
iptables -A INPUT -p tcp --dport 22 -j ACCEPT # SSH
iptables -A INPUT -p tcp -m multiport --dports 80,443 -j ACCEPT # Web
iptables -A INPUT -p icmp --icmp-type echo-request -j ACCEPT # Ping

# ===== NAT 转发 =====
iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -o eth0 -j MASQUERADE # 共享上网
iptables -t nat -A PREROUTING -p tcp --dport 8080 -j DNAT --to-destination 192.168.1.100:80 # 端口转发
iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -o eth0 -j SNAT --to-source 203.0.113.1 # SNAT

延伸阅读：在较新的 Linux 发行版中，nftables 是 iptables 的继任者，提供了更简洁的语法和更好的性能。但 iptables 仍然被广泛使用，掌握 iptables 是学习 nftables 的基础。如果系统已经迁移到 nftables，可以使用 iptables-translate 命令将 iptables 规则转换为 nftables 语法。

nftables 常用命令速查 — Flux Panel 转发规则排查指南

Wed, 24 Jun 2026 10:00:00 +0000

前言

在使用 Flux Panel 做流量转发时，节点服务器的防火墙规则由 flux-nftables 服务自动管理，底层使用的是 Linux 的 nftables。排查转发问题时，经常需要查看、筛选 nftables 规则。本文整理了最常用的 nftables 命令，方便日常运维快速定位问题。

1. Flux Panel 的 nftables 表名

Flux Panel 创建的 nftables 表名为：

inet flux_panel

所有自动下发的转发规则都在这张表里，后续命令都围绕它展开。

2. 查看规则

2.1 列出所有表

nft list tables

确认 inet flux_panel 是否存在。

2.2 查看整张表的规则

nft list table inet flux_panel

输出包含所有链（chain）和规则，内容较多时可以配合 grep 使用。

2.3 带 handle 编号查看

nft -a list table inet flux_panel

每条规则前会显示 # handle X，方便定位和删除指定规则。

2.4 只看某个链

# 入站 DNAT（端口转发目标）
nft list chain inet flux_panel prerouting

# 转发流量（上下行计数）
nft list chain inet flux_panel forward

# 出站伪装（SNAT / masquerade）
nft list chain inet flux_panel postrouting

3. 查看转发计数

nft list chain inet flux_panel forward

输出示例：

counter packets 10 bytes 1234 comment "fp:1:1:1:up"
counter packets 8 bytes 900 comment "fp:1:1:1:down"

comment 字段的格式为：

fp:转发ID:用户ID:用户隧道ID:方向

字段	含义
`转发ID`	Flux Panel 中的转发规则 ID
`用户ID`	所属用户 ID
`用户隧道ID`	用户下的隧道 ID
`方向`	`up` = 上行，`down` = 下行

通过 packets 和 bytes 可以判断流量是否正常通过。

4. 筛选规则

4.1 筛选所有 Flux Panel 转发规则

nft list table inet flux_panel | grep 'fp:'

4.2 查看某个转发 ID 的规则

例如转发 ID 为 1：

nft list table inet flux_panel | grep 'fp:1:'

可以快速确认某条转发是否已正确下发到节点。

5. 查看 DNAT 转发目标

nft list chain inet flux_panel prerouting

输出示例：

tcp dport 8080 dnat to 1.2.3.4:80

表示访问节点 8080 端口的流量会被转发到 1.2.3.4:80。排查"转发不通"时，先确认这里的目标 IP 和端口是否正确。

6. 查看出口伪装

nft list chain inet flux_panel postrouting

正常情况下会看到：

masquerade

表示出站流量会使用节点的 IP 进行 SNAT，保证回程流量能正确返回。

7. 检查服务状态与日志

如果规则没有正确下发，需要检查 flux-nftables 相关服务：

# 查看服务状态
systemctl status flux-nftables.service
systemctl status flux-nftables-agent.service

# 查看最近 100 行日志
journalctl -u flux-nftables.service -n 100 --no-pager
journalctl -u flux-nftables-agent.service -n 100 --no-pager

常见排查场景：

现象	检查方向
规则不存在	看 `flux-nftables.service` 日志是否报错
规则存在但不通	看 `prerouting` 的 DNAT 目标是否正确
流量无计数	看目标机器是否放行了对应端口
服务启动失败	检查 `nft` 命令是否安装、内核是否支持 nftables

8. 常用命令汇总

日常排查最常用的一组命令：

# 查看完整规则（带 handle）
nft -a list table inet flux_panel

# 查看转发计数
nft list chain inet flux_panel forward

# 查看 DNAT 转发目标
nft list chain inet flux_panel prerouting

# 查看服务日志
journalctl -u flux-nftables-agent.service -n 100 --no-pager

9. 注意事项

所有命令需要 root 权限 执行
不要手动修改 flux_panel 表的规则，Flux Panel 会自动管理，手动改的可能被覆盖
如果误操作导致规则丢失，重启 flux-nftables.service 即可重新下发
nftables 是 iptables 的替代方案，内核版本 >= 3.13 即支持，推荐 CentOS 8+ / Debian 10+ / Ubuntu 18.04+