iptables的-m statistic --mode random --probability是主动注入丢包的测试工具，用于模拟网络异常以验证服务鲁棒性，属压力测试手段而非防御措施。
iptables 的 -m statistic --mode random --probability 本身不是防御手段，而是**主动注入丢包的测试工具**。它不用于“防御”，而是模拟网络异常，验证服务在丢包场景下的鲁棒性——也就是你所说的“压力测试”。关键在于：它只丢包，不加密、不拦截攻击、不加固系统，所以不能叫“防御”，但确实是压测链路稳定性的核心方法之一。
确认前提：内核与模块支持
确保系统启用 xt_statistic 模块：
- 运行
lsmod | grep statistic，有输出说明已加载 - 若无输出，执行
modprobe xt_statistic手动加载 - 部分精简内核（如某些容器镜像）可能未编译该模块，需重新配置内核或换用
tc netem
基础丢包命令写法与含义
所有命令需 root 权限，且默认作用于 filter 表。注意方向区分：
-
入站丢包（模拟客户端到本机丢包）：
iptables -A INPUT -m statistic --mode random --probability 0.15 -j DROP
→ 对发往本机的包，以 15% 概率直接丢弃，不响应、不重传 -
出站丢包（模拟本机到服务端丢包）：
iptables -A OUTPUT -m statistic --mode random --probability 0.2 -j DROP
→ 对本机发出的包，以 20% 概率丢弃，对方收不到请求或响应 -
仅对某端口丢包（更贴近真实压测）：
iptables -A INPUT -p tcp --dport 8080 -m statistic --mode random --probability 0.25 -j DROP
→ 只影响 8080 端口的入站流量，不影响 SSH 或健康检查端口
避免误伤与安全退出机制
这类规则是临时生效，但极易导致自己失联（比如误配 OUTPUT 规则后连不上 SSH）。务必配套以下操作：
- 添加规则前，先保存当前规则快照：
iptables-save > /root/iptables-before-loss.rules - 设置超时自动清理（推荐）：
(sleep 300; iptables -D INPUT -m statistic --mode random --probability 0.15 -j DROP 2>/dev/null) &
→ 5 分钟后自动删除该规则，留出逃生窗口 - 查看是否生效：
iptables -L INPUT -v -n | grep DROP
看对应规则的 packets 计数是否随测试增长 - 快速清空所有丢包规则：
iptables -D INPUT -m statistic --mode random --probability 0.15 -j DROP 2>/dev/nulliptables -D OUTPUT -m statistic --mode random --probability 0.2 -j DROP 2>/dev/null
配合压测验证效果
单靠丢包命令无法评估影响，必须搭配可观测手段：
- 用
hping3发包观察丢包率：hping3 -c 100 -S -p 8080 127.0.0.1
对比开启/关闭规则时的loss%输出 - 检查应用层表现：
curl 调用接口，观察 HTTP 超时、连接重置、TLS 握手失败等现象 - 抓包确认丢包位置：
tcpdump -i lo port 8080 -w test.pcap，用 Wireshark 查看是否有 SYN 包发出但无 ACK 返回
真正有效的压测不是堆高丢包率，而是结合业务特征设计梯度：比如先 5% 持续 2 分钟，再升到 15% 观察熔断触发，最后 25% 测试降级逻辑。iptables 的概率丢包，就是帮你把“网络不可靠”这个变量稳稳地、可复现地加进去。
