iptables流量审计核心是利用内核级规则计数器实时统计包数与字节数，通过-nvxl等参数查看命中数据，结合conntrack new状态过滤噪声、定期采集差值分析趋势，并联动log规则补充日志上下文以实现完整审计。
iptables 的流量审计核心在于利用规则自带的计数器，把“谁、何时、以何种方式访问了什么”转化为可读的数值证据。它不依赖外部日志或代理，而是直接在内核包处理路径上实时累积数据，因此轻量、可靠、无额外延迟。
看清命中数据：关键命令与字段含义
执行以下命令可直观获取带统计的规则列表：
- iptables -nvxL INPUT --line-numbers：查看 INPUT 链所有规则，-n 禁用 DNS 解析（显示真实 IP/端口），-v 显示 pkts（包数）和 bytes（字节数），-x 强制显示原始数字（避免 K/M/G 缩写），--line-numbers 标出序号便于定位
- 若需聚焦某张表（如 NAT 场景），加 -t nat；若只关心特定协议，可在命令后追加 | grep tcp 或 | grep 80
- 输出中每行的 pkts 和 bytes 即为该规则自启用以来的累计命中值；若为 0，说明该规则从未匹配到实际流量
区分有效命中与干扰流量
原始计数器包含所有匹配包，但并非所有命中都具审计价值。需结合匹配条件过滤噪声：
- 避免统计 ESTABLISHED 连接——它们是已有会话的后续包，重复率高，掩盖真实新连接行为；建议在规则中显式添加 -m conntrack --ctstate NEW
- 对 DROP/REJECT 规则单独统计，能直接反映被拦截的异常请求（如暴力破解、扫描）；而 ACCEPT 规则更适合评估服务真实负载
- 若规则含复杂匹配（如多端口、IP 段、TCP 标志位），命中数突增可能指向特定攻击模式（例如大量 SYN 包命中某条仅匹配 SYN 的规则）
持续跟踪与趋势判断
单次快照无法支撑审计结论，需建立时间维度观察：
- 用脚本定期采集（如每5分钟执行一次 iptables -nvxL INPUT > /var/log/iptables-stats-$(date +%s)），再对比相邻快照的 pkts 差值，得出单位时间增量
- 重点关注“零增长”规则——长期无命中，可能是冗余策略，应评估是否可清理；反之，持续线性增长的规则需确认是否符合业务预期
- 配合系统监控（如 netstat -s 统计 TCP 重传、conntrack -S 查看连接跟踪表使用率），交叉验证 iptables 数据是否合理（例如 DROP 数激增但重传率未升，更倾向是主动防御而非网络故障）
关联日志提升上下文完整性
计数器只告诉你“多少”，日志才能解释“为什么”。将统计与 LOG 规则联动可闭环审计：
- 在关键统计规则后紧接一条 -j LOG --log-prefix "AUDIT_HTTP: "，确保命中该规则的包同时落日志
- 日志中 SRC/DST/SPT/DPT/TCP 标志位等字段，与计数器中的规则位置对应，就能还原出具体哪些 IP 在什么时间、用什么端口、以何种 TCP 行为触发了这条规则
- 例如：某条匹配 DPT=80 的规则 pkts 值在1小时内从 1200 增至 3500，而对应日志中发现大量 SRC=192.168.3.11 且 SPT 高频变化的 SYN 包，即可判定为端口扫描行为
