iptables的string模块可匹配应用层明文字符串实现敏感词过滤，但仅支持ipv4的input/output/forward链、默认限65535字节、无法解密https正文；需验证内核config_netfilter_xt_match_string启用，并推荐主流发行版完整iptables。
iptables 的 string 模块可用于在数据包的应用层载荷（payload）中匹配指定字符串，从而实现对含敏感词流量的过滤。但需注意：它仅工作于 IPv4 的 INPUT、OUTPUT、FORWARD 链，且默认只检查每个数据包的前 65535 字节；不支持 TLS 加密内容（HTTPS 流量明文部分如 SNI 或早期 HTTP/1.1 请求行可能可见，但正文通常不可见）；性能开销随规则增多而上升。
确认内核与 iptables 支持 string 模块
运行以下命令验证是否启用：
iptables -m string --help
若报错 “Unknown arg”，说明内核未编译 CONFIG_NETFILTER_XT_MATCH_STRING，或 iptables 未链接对应扩展。常见于精简版系统（如某些容器镜像或嵌入式固件）。建议使用主流发行版（CentOS 7+/Ubuntu 18.04+）并确保安装完整版 iptables（非 nftables 替代版）。
基础语法与常用匹配方式
string 模块提供多种匹配算法，推荐根据场景选择：
-
–string "关键词"：默认使用 bm（Boyer-Moore）算法，适合固定 ASCII 字符串，如
"admin"、"passwd=" -
–algo kmp：KMP 算法，对含通配或重复子串更稳定，如匹配
"select.*from"（注意：iptables 不支持正则，此处仅为示意，实际需用多条规则或结合其他工具） -
–from 0 –to 200：限定搜索范围，减少误匹配和性能损耗。例如 HTTP 请求头一般在前 512 字节内，可设
--from 0 --to 512 -
–icase：忽略大小写，适用于不规范输入，如拦截
"virus"同时覆盖"VIRUS"、"Virus"
典型 HTTP 明文流量过滤示例
假设需拦截 POST 请求中含 "credit_card=" 或 GET 请求 URL 中含 "phpmyadmin" 的流量（仅限未加密 HTTP）：
iptables -A INPUT -p tcp --dport 80 -m string --algo bm --from 0 --to 512 --string "credit_card=" --icase -j DROP
iptables -A INPUT -p tcp --dport 80 -m string --algo bm --from 0 --to 512 --string "phpmyadmin" --icase -j DROP
⚠️ 注意：
– 规则应放在通用 ACCEPT 规则之前，否则会被跳过；
– 若服务监听在非标准端口（如 8080），需同步修改 --dport；
– 对 HTTPS（443 端口），该规则仅可能匹配 Client Hello 中的 SNI 域名（需配合 --to 1024 和 tls-sni 特征，但不可靠），正文内容无法识别。
规避限制与增强实用性建议
string 模块能力有限，生产环境建议组合使用：
- 用
limit模块防规则被高频触发拖慢系统：-m limit --limit 5/min --limit-burst 10 - 结合
tcp flags或connbytes初筛可疑连接，再用 string 精检，降低匹配压力 - 对 HTTPS 或复杂协议，string 不适用，应改用应用层网关（如 Nginx + lua-resty-waf）、代理（Squid + squidguard）或专用 WAF（ModSecurity）
- 敏感词更新频繁时，避免硬编码规则，可用脚本动态生成并重载 iptables 规则集
