iptables高级扩展模块支持复杂策略：connlimit按ip限制并发连接防滥用，ipset通过哈希/树结构高效管理大规模ip集合。
iptables 的高级扩展模块是应对复杂网络策略需求的关键工具，它们让规则不再局限于源目地址和端口，而是能深入匹配协议特征、连接状态、应用层行为甚至时间维度。
connlimit：限制并发连接数防滥用
在 Web 服务器或数据库前置防火墙中，单个 IP 建立过多连接常意味着扫描、爬虫或慢速攻击。connlimit 模块可按源 IP 或目的地址+端口组合限制并发连接数。
- 限制每个客户端最多 50 个到本机 SSH 的并发连接：
iptables -A INPUT -p tcp --dport 22 -m connlimit --connlimit-above 50 -j REJECT - 对 HTTP 服务限制每 IP 最多 100 个并发连接，但排除内网可信段：
iptables -A INPUT -p tcp --dport 80 -s ! 192.168.0.0/16 -m connlimit --connlimit-above 100 -j DROP
ipset：高效管理大规模 IP/端口集合
当需封禁数千个恶意 IP 或放行上百个 CDN 段时，用普通 iptables 规则逐条写入会导致性能陡降。ipset 将匹配项预编译为哈希或树结构，单条规则即可完成高速查找。
- 创建一个名为 badips 的 hash:ip 集合：
ipset create badips hash:ip hashsize 4096 - 批量导入黑名单（如从威胁情报 CSV 中提取）：
while read ip; do ipset add badips $ip; done - 在 iptables 中一键引用：
iptables -A INPUT -m set --match-set badips src -j DROP
string 和 recent：识别并拦截含特定内容的流量
string 模块可在 TCP 载荷中搜索关键字（如 SQL 注入特征），recent 则用于记录并跟踪源 IP 的访问频次与模式，二者结合可实现轻量级应用层防护。
- 拦截 User-Agent 中含 sqlmap 的请求（注意：仅适用于未加密 HTTP）：
iptables -A INPUT -p tcp --dport 80 -m string --algo bm --string "sqlmap" --from 0 --to 512 -j DROP - 对 30 秒内发起超 5 次 HTTP 请求的 IP，后续 5 分钟拒绝其访问：
iptables -A INPUT -p tcp --dport 80 -m recent --name httpflood --rcheck --seconds 300 --hitcount 5 -j DROP
iptables -A INPUT -p tcp --dport 80 -m recent --name httpflood --set -j ACCEPT
time 和 owner：按时间窗口或进程属性精细化控制
time 模块支持基于系统时间、星期、日期范围匹配；owner 模块（仅 OUTPUT 链）可区分不同用户、组或进程发起的连接，适合多租户或审计场景。
- 仅允许运维账号（UID 1001）在工作日 9:00–18:00 通过 SSH 连接本机：
iptables -A OUTPUT -p tcp --dport 22 -m owner --uid-owner 1001 -m time --timestart 09:00 --timestop 18:00 --weekdays 1,2,3,4,5 -j ACCEPT - 禁止非 root 用户访问外网 DNS（防止非授权解析）：
iptables -A OUTPUT -p udp --dport 53 -m owner ! --uid-owner 0 -j REJECT
