linux防火墙性能瓶颈主要源于iptables/nftables规则链过长导致的线性匹配开销，应通过ipset/nft map聚合、高频规则前置、默认拒绝策略、迁移到nftables、清理无效规则等手段优化，控制单链规则在100条以内。
Linux防火墙性能瓶颈往往不是CPU或内存不足，而是iptables/nftables规则链过长导致的线性匹配开销。规则越多，每个数据包遍历的规则条目就越多，延迟上升、吞吐下降，尤其在高并发小包场景下尤为明显。
合并同类规则，减少重复匹配
大量相似源IP、目的端口或协议的规则，应优先聚合。例如把10条单独的-s 192.168.1.1 -p tcp --dport 22 -j ACCEPT替换成一条带ipset的规则：
- 创建ipset：
ipset create ssh_whitelist hash:ip - 批量添加：
ipset add ssh_whitelist 192.168.1.1; ipset add ssh_whitelist 192.168.1.2… - 单条iptables引用：
iptables -A INPUT -m set --match-set ssh_whitelist src -p tcp --dport 22 -j ACCEPT
ipset底层用哈希或B-tree查找，时间复杂度接近O(1)，远优于线性扫描的iptables规则。
调整规则顺序，高频规则前置
iptables按序匹配，一旦命中即停止。把流量占比大、触发频繁的规则（如SSH、健康检查、内部服务通信）放在链开头，可显著降低平均匹配跳数。
- 用
iptables -L -n -v查看各规则的packet计数，识别高频规则 - 用
iptables -I INPUT 1 ...将关键规则插入链首，而非追加到末尾 - 避免“默认放行+黑名单”模式；改用“默认拒绝+白名单”，让合法流量尽早匹配退出
用nftables替代iptables（推荐新部署）
nftables内核态解析更高效，支持原生字典/映射（map）、动态更新且无规则重载开销。相同策略下，规则数量达500+时，nftables吞吐通常比iptables高20%~40%。
- 将ipset逻辑迁移到nft map：
nft add map inet filter ssh_map { type ipv4_addr : verdict; } - 用
jump或queue替代冗长的-j链跳转，减少上下文切换 - 启用
nf_tables模块的auto-merge选项（需内核≥5.15），自动合并相邻同目标规则
定期清理无效规则，禁用未使用链
长期运行的防火墙常积累测试规则、临时封禁项或已下线服务的残留策略。这些不仅增加匹配负担，还带来安全风险。
- 用
iptables-save | grep -v "^#" | wc -l统计有效规则数，结合业务清单逐条核对 - 删除空链：
iptables -X chain_name；清空链但保留链本身：iptables -F chain_name - 禁用未被引用的自定义链（如
raw或mangle中闲置链），减少内核链表维护开销
规则优化不是单纯删减，而是提升匹配效率。控制单链规则在100条以内，配合ipset/nft map和合理排序，即使万级IP白名单也能保持微秒级处理延迟。
