写 iptables 规则最让人头疼的场景莫过于命令执行成功、规则也能列出来但流量就是不按预期走 —— 该拦的拦不住该放的放不通。排查这类问题不用瞎猜90% 的情况都逃不开下面这 3 个经典坑。按顺序过一遍基本都能定位。排查点一规则顺序错了被前面的规则 “截胡”问题现象明明加了一条 DROP 规则封禁某个 IP对方却还能正常访问或者写了 ACCEPT 放行端口端口依然不通。用iptables -L看规则确实存在但计数器pkts/bytes一直是 0。根本原因iptables 遵循首次匹配原则数据包从上到下依次匹配链中的规则一旦某条规则命中并执行了 ACCEPT / DROP / REJECT 等终止性动作后续规则就不再检查。绝大多数人习惯用-Aappend追加规则新规则会被加到链的末尾。如果前面已经有一条范围更大的规则先匹配了流量你后面加的规则就永远不会触发。典型反面教材# 先放行所有入站流量iptables-AINPUT-jACCEPT# 再封禁某个 IP —— 永远不会生效iptables-AINPUT-s192.168.1.100-jDROP上面第二条规则写了等于白写因为所有包在第一条就被 ACCEPT 了。正确做法精细规则放前面宽泛规则放后面插入规则用-I插到链首或用-I INPUT 数字插到指定位置封禁类规则优先放在放行规则之前# 正确顺序先封禁再放行其他iptables-IINPUT-s192.168.1.100-jDROP iptables-AINPUT-jACCEPT快速验证用带计数器的命令查看命中情况iptables-LINPUT-n-v--line-numbers如果某条规则 pkts 一直是 0大概率是被前面的规则截胡了。排查点二链或表选错了流量根本不走这条链问题现象规则写了、顺序也对但就是零命中。常见于端口映射、容器暴露端口、转发流量等场景。根本原因iptables 有 “四表五链”不同流向的数据包经过的链完全不同。规则放错了链或表流量自然碰不到它。最容易踩的几个坑1. INPUT 和 FORWARD 搞混INPUT 链目标地址是本机的流量别人访问你服务器上的服务FORWARD 链经过本机转发的流量路由器 / 网关场景、容器流量转发如果你在做端口映射或者用 Docker 暴露端口流量经过的是 FORWARD 链而非 INPUT往 INPUT 里加规则当然无效。2. filter 表和 nat 表搞混filter 表默认用来过滤放行 / 拦截nat 表用来做地址转换DNAT/SNATDNAT 端口映射必须写在nat表的PREROUTING链写在 filter 表里不会生效。3. Docker 环境的特殊坑Docker 启动后会自己管理 iptables 规则容器暴露的端口流量走DOCKER链和DOCKER-USER链。你在宿主机 INPUT 链里加的封禁规则对容器端口基本无效。正确做法是把规则加到DOCKER-USER链# 封禁某个 IP 访问容器暴露的端口iptables-IDOCKER-USER-s192.168.1.100-jDROP快速自查清单流量是访问本机还是经过转发→ 选 INPUT / FORWARD是过滤还是地址转换→ 选 filter /nat 表有没有 Docker / Kubernetes 等容器环境→ 检查 DOCKER-USER 链服务监听在 [127.0.0.1](127.0.0.1) 还是 [0.0.0.0](0.0.0.0)→ 回环地址不走物理网卡规则排查点三连接跟踪机制导致 “看起来没生效”问题现象新加了一条封禁规则但已建立的连接还在正常通信过了好几分钟甚至更久才断开。尤其常见于 SSH、MySQL、长连接 HTTP 等场景。根本原因这不是 bug是 iptables 的连接跟踪conntrack机制在起作用。Linux 内核会跟踪每一条 TCP/UDP 连接的状态NEW / ESTABLISHED / RELATED 等。对于已经处于ESTABLISHED状态的连接后续数据包会直接复用连接跟踪表的记录不会逐条重新匹配规则。所以你新增的 DROP 规则只能影响之后新建的连接不会主动切断已经建立好的连接。看起来就像 “规则没生效”。TCP 长连接的默认超时时间可以长达 5 天nf_conntrack_tcp_timeout_established默认值 432000 秒如果不主动断开能一直挂着。解决方法如果需要立即生效需要手动清理已有的连接跟踪记录# 安装 conntrack 工具yuminstallconntrack-tools# CentOS/RHELaptinstallconntrack# Debian/Ubuntu# 清除指定 IP 的连接记录conntrack-D-s192.168.1.100# 清除指定端口的连接记录conntrack-D-ptcp--dport3306延伸写规则时的好习惯建议在规则开头放行已建立连接的回包这是标准写法# 放在 INPUT 链最前面iptables-IINPUT-mconntrack--ctstateESTABLISHED,RELATED-jACCEPT这样本机主动发起请求的返回流量能正常通过不用为每个回包方向单独写规则。最后一分钟排查流程遇到 iptables 规则不生效按这个顺序走看顺序iptables -L -n -v --line-numbers检查目标规则前面有没有更大范围的规则截胡看链 / 表确认流量流向和规则所在的链、表是否匹配注意 Docker 等特殊环境看连接conntrack -L检查是不是已有长连接在复用需要手动清理掌握这三点绝大多数 iptables “玄学不生效” 问题都能快速定位。如果还不行可以加 LOG 目标打印匹配日志进一步精准分析。提示操作 iptables 前建议先备份规则远程操作时尤其注意不要把自己关在外面。生产环境修改规则建议先在测试机验证或配合定时任务做自动回滚。
企业数字化 ERP 产品动态
相关推荐
PTA基础编程题目集 6-12判断奇偶性(C语言实现) 题目描述摘要:本文来自一道 C 语言编程题,要求实现 even(n) 函数判断整数奇偶性。题目给出了函数接口定义、裁判测试程序样例及输入输出示例,并提供了两种具体实现:函数部分的独立实现和包含完整 main 函数的完整代码实现。#merma… · 2026/9/20 7:37:32
Linux 实时任务的 CPU 绑定:taskset 与实时性提升实战教程 一、简介1.1 技术背景多核 Linux 系统默认调度策略为全局负载均衡,内核会自动将进程随机迁移到任意 CPU 核心,最大化整机吞吐量。该设计对于服务器、桌面系统十分友好,但对工业硬实时任务存在两大致命缺陷:跨核心缓存失效… · 2026/9/22 0:51:05
专门做推荐的网站怎么选?3类源码避坑指南 专门做推荐的网站怎么选?3类源码避坑指南 别再盯着那些丑得让人想关页面的模板看了。花大钱买的“高端”模板,上线后客户第一眼就皱眉,跳出率高得吓人,SEO权重更是起不来。做推荐类网站,核心不是堆砌花哨特效,而是… · 2026/9/27 13:29:50
miniQMT+AI高效协同:用Trae Skill打通策略配置与验证闭环(上) /* MD / 富文本中的 .toc(含博客园搬家等嵌套结构);.toc-box 在侧栏,不受影响 */#content_views .toc,/* 编辑器常在目录前后插入空 p(:empty 仍占 20px),一并去掉避免顶空隙 */#content_views.markdown_views > p:empty:has(+ .toc),#content_views.markdown_views … · 2026/9/27 13:29:25
wordpress$user_id保姆级建站教程:告别备案焦虑 wordpress$user_id保姆级建站教程:告别备案焦虑 做网站最头疼的不是写代码,而是备案流程一头雾水。很多创业者盯着后台报错发呆,以为服务器配置错了,其实卡在政策合规上。这篇保姆级建站教程,专门拆解wordpress$user_i… · 2026/9/27 13:29:13
OpenClaw 自定义皮肤配置指南:用 TaoToken 统一 Key 打通主题渲染链路 /* MD / 富文本中的 .toc(含博客园搬家等嵌套结构);.toc-box 在侧栏,不受影响 */#content_views .toc,/* 编辑器常在目录前后插入空 p(:empty 仍占 20px),一并去掉避免顶空隙 */#content_views.markdown_views > p:empty:has(+ .toc),#content_views.markdown_views … · 2026/9/27 13:29:07
263企业邮箱官方入口网页版新手入门避坑指南 263企业邮箱官方入口网页版新手入门避坑指南 找建站公司怕被坑高价?很多新手在起步阶段,最容易掉进的陷阱就是盲目追求“高大上”的服务包,结果花了几千块,做出来的网站连个正规的企业邮箱都配不上,或者邮箱入口藏得极深,客户根本找不到,白白流失商… · 2026/9/27 13:28:42
MATLAB雷达信号脉冲压缩仿真:LFM线性调频、匹配滤波与距离分辨率实现 简介:这套Matlab仿真工具完整呈现雷达信号脉冲压缩过程,从线性调频(LFM)信号生成、目标回波仿真到匹配滤波压缩处理均有可运行代码支撑,面向电子信息工程、计算机、数学等专业学生,适用于课程设计、期末大作… · 2026/9/27 0:00:01
汕头网站建设制作厂家避坑指南:5大注意事项救急 汕头网站建设制作厂家避坑指南:5大注意事项救急 改个需求建站公司拖一周,这种憋屈事我见得太多了。 很多汕头老板找本地建站团队,签合同前看着方案挺美,一上线就变脸。 今天不聊虚的,直接拆解找 汕头网站建设制作厂家 时的5个核心 注意事项… · 2026/9/27 0:00:01
多模态虚假新闻检测实战:BERT+ResNet双塔与对比学习 简介:基于PyTorch的多模态虚假新闻检测项目完整代码包,面向自然语言处理与计算机视觉交叉方向的开发者、科研人员及毕业设计选题者,解决社交媒体中文本与图像联合识别虚假新闻的问题。系统以BERT预训练模型提取文本语义特征,以Res… · 2026/9/27 0:00:01
MATLAB雷达信号脉冲压缩仿真:LFM线性调频、匹配滤波与距离分辨率实现 简介:这套Matlab仿真工具完整呈现雷达信号脉冲压缩过程,从线性调频(LFM)信号生成、目标回波仿真到匹配滤波压缩处理均有可运行代码支撑,面向电子信息工程、计算机、数学等专业学生,适用于课程设计、期末大作… · 2026/9/27 0:00:01
汕头网站建设制作厂家避坑指南:5大注意事项救急 汕头网站建设制作厂家避坑指南:5大注意事项救急 改个需求建站公司拖一周,这种憋屈事我见得太多了。 很多汕头老板找本地建站团队,签合同前看着方案挺美,一上线就变脸。 今天不聊虚的,直接拆解找 汕头网站建设制作厂家 时的5个核心 注意事项… · 2026/9/27 0:00:01
多模态虚假新闻检测实战:BERT+ResNet双塔与对比学习 简介:基于PyTorch的多模态虚假新闻检测项目完整代码包,面向自然语言处理与计算机视觉交叉方向的开发者、科研人员及毕业设计选题者,解决社交媒体中文本与图像联合识别虚假新闻的问题。系统以BERT预训练模型提取文本语义特征,以Res… · 2026/9/27 0:00:01