如何使用 iptables 编写多层级防护的防火墙脚本-linux运维-PHP中文网

多层级iptables防火墙脚本需按数据包生命周期分四层：raw（跳过连接跟踪）、mangle（标记分流）、filter（input/output/forward控制主机与网关流量）、nat（prerouting/postrouting地址转换），并严格遵循初始化、模块加载、内核调优、规则配置四模块结构，确保顺序正确、nat与forward协同、规则持久化。

如何使用 iptables 编写多层级防护的防火墙脚本

编写多层级防护的 iptables 防火墙脚本，核心是分层控制流量走向：先保本机安全（INPUT/OUTPUT），再管转发（FORWARD），最后叠加地址转换（NAT）和状态跟踪（raw/mangle）。不是堆规则，而是按数据包生命周期排布逻辑顺序。

明确防护层级与对应表链

iptables 的“多层级”本质是 Netfilter 框架中不同处理阶段的分工：

主机级防护：用 filter 表的 INPUT 和 OUTPUT 链，控制进出本机的流量（如 SSH、Web、本地回环）
网关级防护：用 filter 表的 FORWARD 链 + nat 表的 PREROUTING/POSTROUTING，管控跨网络转发（如内网访问外网、外网访问内网服务）
连接状态强化：用 raw 表跳过连接跟踪（如大流量 ICMP 或特定 UDP），或用 mangle 表标记数据包用于后续策略分流

脚本结构必须包含四个基础模块

一个可维护、可复用的脚本不能只写规则，要像程序一样有初始化、加载、配置、清理环节：

变量定义段：统一管理接口名（WAN=eth0、LAN=eth1）、服务端口（SSH_PORT=22）、可信网段（TRUSTED="192.168.1.0/24"）
模块加载段：显式加载必要内核模块，例如：
modprobe ip_conntrack_ftp
modprobe ip_nat_ftp
modprobe nf_conntrack_ipv4
（避免 FTP 主动模式、连接跟踪失效等隐性故障）
内核参数调整段：启用 IP 转发（仅网关场景）：
echo 1 > /proc/sys/net/ipv4/ip_forward
同时建议写入 /etc/sysctl.conf 持久化
规则设置段：按“默认策略 → 基础放行 → 业务放行 → 日志兜底”顺序组织，例如：
iptables -P INPUT DROP
iptables -A INPUT -i lo -j ACCEPT
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -s $TRUSTED -p tcp --dport $SSH_PORT -j ACCEPT

关键细节决定防护是否真正生效

很多脚本看似完整，上线后却失效，问题常出在以下三处：

规则顺序不可逆：iptables 匹配是“自上而下、命中即停”。拒绝所有（-P INPUT DROP）之后再追加允许规则无效；应先设宽松默认策略（如 ACCEPT），再用 -I 插入关键拒绝规则，最后再设 DROP 并确保它在链尾
NAT 规则必须配合 FORWARD 放行：仅写一条 DNAT 把 80 端口映射到内网服务器，但 FORWARD 链默认 DROP，流量仍被拦在网关。必须同步添加：
iptables -A FORWARD -d 192.168.1.100 -p tcp --dport 80 -j ACCEPT
iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT
持久化不是可选项：重启后规则消失是常态。生产环境必须固化：
导出：iptables-save > /etc/sysconfig/iptables
开机加载：确保 systemctl enable iptables（CentOS/RHEL）或通过 rc.local 执行 iptables-restore

附：最小可行脚本骨架（Web 服务器场景）

以下为精简但完整的结构示意，可直接保存为 /usr/local/bin/firewall.sh 并 chmod +x：

清程爱画

一款AI视频创作工具，主要用于AI图像与视频生成平台，拥有超丰富的工作流社区和多种图像生成模式，适合需要提升相关任务效率的用户。

下载

#!/bin/bash
WAN="eth0"
HTTP_PORT="80"
HTTPS_PORT="443"
<h1>清空现有规则（谨慎！建议先备份）</h1><p>iptables -F
iptables -X
iptables -Z</p><h1>设置默认策略</h1><p>iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT ACCEPT</p><h1>允许本地通信</h1><p>iptables -A INPUT -i lo -j ACCEPT</p><h1>允许已建立连接</h1><p>iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT</p><h1>允许 SSH（建议限制源 IP）</h1><p>iptables -A INPUT -p tcp --dport 22 -s 192.168.1.0/24 -j ACCEPT</p><h1>开放 Web 服务</h1><p>iptables -A INPUT -p tcp --dport $HTTP_PORT -j ACCEPT
iptables -A INPUT -p tcp --dport $HTTPS_PORT -j ACCEPT</p><h1>允许 ping（可选）</h1><p>iptables -A INPUT -p icmp --icmp-type echo-request -j ACCEPT</p><h1>记录未匹配流量（调试用，上线前可注释）</h1><p>iptables -A INPUT -j LOG --log-prefix "DROPPED: "
</p>