防火墙抗压测试核心是模拟真实攻击流量特征，在可控前提下验证规则有效性与系统承载边界，聚焦规则匹配效率、conntrack容量和CPU软中断处理能力，需实时监控关键指标并避免使用高并发误报工具。
在生产环境中测试防火墙规则的抗压性能，核心不是“打满流量”，而是模拟真实攻击流量特征，在可控、可监控、不中断业务的前提下验证规则有效性与系统承载边界。
明确测试目标与安全前提
防火墙抗压测试不是压力测试的简单翻版，它聚焦于规则匹配效率、连接跟踪表（conntrack）容量、CPU软中断处理能力三个关键点。必须满足：
• 仅在授权隔离环境（如DMZ测试区或灰度集群）开展
• 所有测试流量必须源出可控设备，目标指向专用测试接口或虚拟IP
• 实时监控 conntrack 表使用率、iptables 规则命中计数、软中断（si）CPU占用、丢包率
用 iperf3 + hping3 搭建轻量级流量基线
避免使用 LOIC 等高并发工具——它们无法反映真实防火墙瓶颈（如连接状态匹配），反而易触发误报或内核资源耗尽。
推荐组合：
• iperf3：测通路带宽与 TCP 连接建立吞吐（验证 NAT、端口转发类规则）
• hping3：构造特定协议/标志位的精细化流量（验证 SYN Flood 防御、ICMP 控制、TCP 标志过滤等）
例如，模拟慢速 HTTP 连接消耗：
hping3 -S -p 80 --flood --rand-dest 192.168.1.100
搭配 iptables 计数器观察规则匹配速率：
iptables -A INPUT -p tcp --dport 80 -j LOG --log-prefix "HTTP-TEST: "
重点验证 conntrack 与规则链深度影响
多数防火墙性能拐点出现在连接跟踪表满或规则链过长时：
• 使用 conntrack -S 实时查看当前连接数、最大容量、超时值
• 对比不同规则位置的匹配耗时：把高频匹配规则（如 ESTABLISHED）放在链首，避免遍历整条链
• 测试长链场景：添加 50+ 条带复杂 match（iprange、string、multiport）的规则，用 iptables -L -v -n 查看每条规则的 packet count 增长速度
• 调整内核参数应对高连接：
net.netfilter.nf_conntrack_max = 262144
net.netfilter.nf_conntrack_buckets = 65536
结合 firewalld 或 ufw 的动态策略验证
若使用 firewalld（RHEL/CentOS）或 ufw（Ubuntu），需注意其底层仍调用 iptables/nftables：
• 用 firewall-cmd --direct --add-rule ipv4 filter INPUT 0 -p tcp --dport 22 -m connlimit --connlimit-above 3 -j REJECT 添加限连规则后，立即用 hping3 发起 10 并发 SSH 连接验证生效
• 修改 zone 策略后，用 firewall-cmd --reload 触发热更新，并通过 journalctl -u firewalld -n 20 确认无规则加载错误
• ufw 用户应禁用默认日志（避免磁盘写满），改用 ufw status verbose 查看规则计数器
