iptables helper模块是连接跟踪增强机制，非端口放行工具；它解析ftp等协议控制流，动态创建expect条目，使数据包被识别为related状态，从而由established,related规则自动放行。
iptables 的 helper 模块不是用来“放行端口”的工具，而是让内核理解复杂协议语义的连接跟踪增强机制。它解决的是像 FTP、SIP、IRC 这类控制通道与数据通道分离、端口动态协商的协议，在 NAT 或状态防火墙下无法自动放行数据连接的问题。核心逻辑是：模块解析控制流中的地址/端口信息，动态创建 conntrack 期望条目（expect entry），使后续数据包能被识别为 RELATED 状态，从而被 -m conntrack --ctstate ESTABLISHED,RELATED 规则自然放行。
确认并加载对应协议的 helper 模块
不同协议依赖不同的内核模块，必须先加载才能生效。常见模块名与协议对应关系如下：
-
FTP：现代内核（4.x+）用
nf_conntrack_ftp；旧内核用ip_conntrack_ftp -
SIP（VoIP）：
nf_conntrack_sip（需注意 SIP ALG 在公网部署中存在兼容性风险） -
TFTP：
nf_conntrack_tftp -
IRC：
nf_conntrack_irc
检查是否已加载：lsmod | grep nf_conntrack_ftp
若无输出，手动加载：modprobe nf_conntrack_ftp
永久生效（Debian/Ubuntu）：echo "nf_conntrack_ftp" >> /etc/modules
（RHEL/CentOS）：echo "nf_conntrack_ftp" > /etc/sysconfig/modules/ftp.modules && chmod +x /etc/sysconfig/modules/ftp.modules
iptables 规则只需聚焦控制通道，无需开放数据端口
启用 helper 后，规则配置大幅简化。以 FTP 为例：
- 只允许 21 端口的控制连接：
iptables -A INPUT -p tcp --dport 21 -m conntrack --ctstate NEW -j ACCEPT - 统一放行所有已建立及关联连接（含 helper 自动跟踪的数据流）：
iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT -
不需要写任何针对 20 端口、PASV 随机端口、或
--sport 20的规则
关键点：必须使用 --ctstate（推荐）而非已过时的 --state；RELATED 状态正是 helper 模块注入 expect 条目后触发的。
验证 helper 是否真正起作用
光看规则没用，要确认内核层面是否在工作：
- 发起一次 FTP 主动模式连接（如
ftp -p server_ip，然后执行ls） - 检查 conntrack 表是否有 expect 条目：
conntrack -E | grep ftp或conntrack -L | grep "ftp\|expect" - 正常应看到类似：
expect 6 120 seconds max 8192 timeout 300 name=ftp src=192.168.1.100 dst=192.168.1.200 sport=45778 dport=20 - 若无 expect 条目，说明模块未加载、vsftpd 配置错误（如
pasv_enable=YES与主动模式冲突）、或客户端实际走的是 PASV 模式
服务端配置必须与 helper 语义对齐
helper 模块只是“翻译官”，不改变服务行为。如果 vsftpd 实际没按标准主动模式发数据，模块就无从解析。
- 确保
/etc/vsftpd/vsftpd.conf中有：port_enable=YESconnect_from_port_20=YESpasv_enable=NO - 禁用非标端口：
# ftp_data_port=21（注释掉或删除，避免干扰） - 重启服务：
systemctl restart vsftpd - 注意：某些嵌入式设备或定制 FTP 客户端可能默认强制 PASV，此时需改客户端设置或启用
nf_conntrack_ftp的 PASV 支持（通过sysctl调整参数）
