如何在Linux利用Iptables-T-Raw表配置NOTRACK规则防御超大规模的DDoS冲击-linux运维-PHP中文网

NOTRACK必须在raw表中配置，因其是唯一能在连接跟踪初始化前介入的表，可真正绕过nf_conntrack；其他表中操作无法避免资源消耗。

如何在linux利用iptables-t-raw表配置notrack规则防御超大规模的ddos冲击

在超大规模DDoS冲击下，内核连接跟踪（nf_conntrack）极易成为性能瓶颈——大量伪造SYN、ACK或碎片包会迅速耗尽连接表项，导致正常连接被踢出、CPU软中断飙升、甚至系统假死。此时，raw表的NOTRACK规则不是“放行”，而是“绕过状态跟踪”，让特定流量跳过conntrack模块，从而保住内核资源，为后续filter表的精准限速和过滤腾出空间。

为什么必须用raw表做NOTRACK

raw表是iptables中唯一能在连接跟踪初始化前介入的表，位于PREROUTING和OUTPUT链最前端，优先级高于mangle、nat和filter。只有在这里设置-j NOTRACK，才能真正阻止数据包进入nf_conntrack哈希表。其他表（如filter）中的DROP或ACCEPT都发生在连接已创建之后，对缓解conntrack压力无效。

典型误操作：在filter表里写iptables -A INPUT -s 192.168.1.100 -j DROP——该包仍会被track、分配ct entry、再丢弃，浪费资源。

哪些流量适合NOTRACK豁免

核心原则：只对**明确无需状态跟踪、且本身不构成攻击面**的流量启用NOTRACK。常见安全豁免场景包括：

Obsidian (Linux)

操作 Obsidian 库（纯 Markdown 笔记），并通过 notesmd-cli 实现自动化。

下载

本地回环通信：iptables -t raw -A PREROUTING -i lo -j NOTRACK 和 iptables -t raw -A OUTPUT -o lo -j NOTRACK
已知可信监控/心跳流量（如Zabbix Agent端口、Consul健康检查UDP包）：iptables -t raw -A PREROUTING -p udp --dport 10050 -s 10.0.10.0/24 -j NOTRACK
高吞吐但无状态的协议入口（如DNS递归查询响应、NTP应答）：iptables -t raw -A PREROUTING -p udp --sport 53 -m state --state ESTABLISHED -j NOTRACK（注意：仅对响应方向，且需配合OUTPUT链）

⚠️ 禁止对以下流量使用NOTRACK：
– 任意公网入向TCP新连接（尤其是HTTP/HTTPS）
– 来源IP不可信或未做过初步过滤的UDP Flood目标端口
– 所有需要conntrack辅助的NAT或FTP-ALG场景

NOTRACK与后续filter规则的协同逻辑

启用NOTRACK后，该包将不再有ctstate（如ESTABLISHED、INVALID），因此filter表中依赖-m conntrack的规则对其失效。必须改用无状态匹配方式控制：

用-m limit替代--ctstate NEW限速：iptables -A INPUT -p tcp --dport 80 -m limit --limit 50/sec --limit-burst 100 -j ACCEPT
用-m hashlimit做IP级速率控制：iptables -A INPUT -p tcp --dport 80 -m hashlimit --hashlimit-above 10/sec --hashlimit-name http_limit --hashlimit-mode srcip -j DROP
用-m tcp严格校验TCP标志位（防SYN+ACK泛洪）：iptables -A INPUT -p tcp ! --syn -m state --state NEW -j DROP（注意：此rule需放在NOTRACK规则之后、且state模块仍可工作，因NOTRACK仅跳过conntrack，不关闭netfilter基础匹配能力）

生产环境关键配置示例

以下为应对SYN Flood+ACK Flood混合攻击的最小可行raw+filter组合（请按顺序执行）：

# 1. 在raw表最前，豁免本地环回（必须）
iptables -t raw -A PREROUTING -i lo -j NOTRACK
iptables -t raw -A OUTPUT -o lo -j NOTRACK
<h1>2. 豁免已确认的DNS响应（假设DNS服务器在本机，监听53/udp）</h1><p>iptables -t raw -A PREROUTING -p udp --sport 53 -m state --state ESTABLISHED -j NOTRACK
iptables -t raw -A OUTPUT -p udp --dport 53 -m state --state RELATED,ESTABLISHED -j NOTRACK</p><h1>3. 在filter表，对80/443端口启用无状态限速（不依赖conntrack）</h1><p>iptables -A INPUT -p tcp -m multiport --dports 80,443 -m limit --limit 30/sec --limit-burst 60 -j ACCEPT
iptables -A INPUT -p tcp -m multiport --dports 80,443 -m hashlimit --hashlimit-above 5/sec --hashlimit-name web_flood --hashlimit-mode srcip -j DROP</p><h1>4. 拦截明显异常的TCP包（伪造标志、非SYN的新连接等）</h1><p>iptables -A INPUT -p tcp --tcp-flags ALL NONE -j DROP
iptables -A INPUT -p tcp --tcp-flags ALL ALL -j DROP
iptables -A INPUT -p tcp ! --syn -m state --state NEW -j DROP
</p>

执行后建议运行conntrack -C观察当前连接跟踪条目数是否显著回落，并用watch -n1 'cat /proc/net/nf_conntrack | wc -l'确认内存压力缓解。