Ubuntu 14.04 iptables模板设计与持久化实践

1. 为什么Ubuntu 14.04的iptables模板不是“抄个命令就完事”的事你搜到这篇标题时大概率正卡在某个具体场景里可能是刚配好一台旧版Ubuntu服务器想加个基础防护却连第一条规则都加不进去也可能是接手了别人留下的混乱iptables脚本iptables -L输出一堆重复链、自定义链名五花八门改一条规则怕崩整个网络又或者你在某篇教程里复制了-A INPUT -p tcp --dport 22 -j ACCEPT结果发现SSH连不上了——不是端口没开而是默认策略是DROP而你漏掉了-i lo的回环放行。这些都不是操作失误而是缺乏一个可验证、可复位、可演进的模板思维。Ubuntu 14.04这个版本很特殊。它发布于2014年4月EOL生命周期结束早在2019年4月就已终止官方不再提供安全更新。但现实中大量嵌入式设备、工业控制终端、老旧测试环境甚至某些遗留业务系统仍在运行它。它的iptables版本是1.4.21内核是3.13这意味着你不能直接套用现代Ubuntu 22.04上基于nftables兼容层的写法也不能用iptables-persistent的最新包管理方式——那个包在14.04源里压根不存在。更关键的是14.04默认没有启用ufwUncomplicated Firewall而很多新手误以为ufw enable就能一劳永逸结果发现ufw status verbose显示规则空空如也因为底层iptables规则根本没加载。我当年在一家做智能电表固件升级平台的公司就遇到过真实案例运维同事在14.04网关机上手动敲了二十多条iptables命令临时封掉几个扫描IP结果重启后全失效。没人知道规则存在哪/etc/iptables.rules文件是空的/etc/network/if-pre-up.d/iptables脚本里只有一行exit 0。最后我们花了三小时翻日志、查启动顺序、比对/proc/net/ip_tables_names才确认规则从未持久化。这件事让我彻底放弃“命令行即配置”的思路转而构建一套带状态校验、带失败回滚、带版本注释的模板体系。这个模板不追求功能炫酷只解决三个核心问题第一确保每次重启后防火墙状态可预测第二让新增规则像修改配置文件一样清晰可控第三当网络异常时能用一条命令秒级还原到已知安全基线。所以本文要讲的不是一个“如何输入几条iptables命令”的速成教程而是一套在Ubuntu 14.04这种受限环境中用最原始、最可靠的方式把iptables从“临时补丁工具”变成“基础设施配置组件”的实践方法。它包含四个不可分割的环节规则逻辑的分层设计、持久化机制的手动实现、状态验证的自动化检查、以及故障时的无损回退路径。接下来每一部分我都将用当时在电表平台实际部署的代码和日志作为依据告诉你每一步为什么这么写以及不这么写的代价是什么。2. 模板的骨架三层规则结构与链设计原理很多人以为iptables模板就是把一堆-A INPUT命令堆进文件里这是最大的认知偏差。真正的模板必须有清晰的责任边界划分否则规则会像毛线团一样越理越乱。在Ubuntu 14.04上我们采用经典的三层结构基础链Base Chain、服务链Service Chain、应用链Application Chain。这不是凭空发明的而是严格对应iptables内核模块的处理流程和14.04的netfilter架构限制。2.1 基础链INPUT/FORWARD/OUTPUT的唯一入口点基础链是内核netfilter框架预定义的三个主链它们的处理顺序是硬编码的数据包先过PREROUTING再根据目的IP判断是否本机是则进INPUT否则进FORWARD最后出接口前过OUTPUT。在14.04中你绝对不能在INPUT链里直接写业务规则原因有两个第一INPUT链会被系统服务如rsyslog、cron的自动规则干扰第二一旦规则顺序错乱比如把-j DROP放在-p tcp --dport 22之前SSH就永远连不上。我们的解法是INPUT链只做三件事——放行回环、放行已建立连接、跳转到自定义服务链。# /etc/iptables.template *filter :INPUT DROP [0:0] :FORWARD DROP [0:0] :OUTPUT ACCEPT [0:0] # 1. 回环接口必须无条件放行否则本地服务间调用会失败 -A INPUT -i lo -j ACCEPT # 2. 已建立连接和相关连接必须放行这是状态跟踪的基础 -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT # 3. 所有新连接请求统一跳转到SERVICE链处理 -A INPUT -m state --state NEW -j SERVICE COMMIT注意这里的关键细节-m state --state NEW的写法。在14.04的iptables 1.4.21中conntrack模块默认启用但state匹配模块必须显式加载。如果你漏掉-m state规则会静默失效iptables -L看起来正常但实际不生效。我曾见过有人把这条写成-A INPUT -j SERVICE结果所有新连接都被DROP截断因为-j SERVICE后面没有-m state限定导致已建立连接也被重定向而SERVICE链里又没处理ESTABLISHED状态形成死循环。2.2 服务链按协议和端口分类的规则容器SERVICE链是我们创建的第一个自定义链它的唯一职责是分流不同服务的流量。它不处理具体端口只做协议判断和跳转。这样设计的好处是当你要开放Redis端口6379时只需在SERVICE链末尾加一行-A SERVICE -p tcp --dport 6379 -j REDIS而不用去INPUT链里大海捞针找位置。更重要的是它隔离了规则变更的影响范围——修改REDIS链不会影响SSH或HTTP的规则。# 续上 /etc/iptables.template *filter # ... 前面INPUT等基础链定义 ... # 创建SERVICE链 :SERVICE - [0:0] # SERVICE链内部规则按协议类型分流 -A SERVICE -p tcp -m multiport --dports 22,80,443 -j WEB_SERVICES -A SERVICE -p tcp --dport 53 -j DNS -A SERVICE -p udp --dport 53 -j DNS -A SERVICE -p tcp --dport 3306 -j MYSQL -A SERVICE -p tcp --dport 6379 -j REDIS # 默认拒绝兜底策略 -A SERVICE -j REJECT --reject-with icmp-host-prohibited COMMIT这里有个易被忽略的陷阱multiport模块在14.04中需要单独加载。如果你只写-p tcp --dports 22,80,443iptables会报错iptables: No chain/target/match by that name。正确写法必须是-m multiport --dports。这个错误在搜索热词里高频出现比如docker0: iptables: no chain/target/match by that name本质都是模块未加载导致的。解决方案是在脚本开头强制加载# 在应用模板前执行 modprobe ip_tables modprobe iptable_filter modprobe ipt_state modprobe ipt_multiport2.3 应用链面向具体业务的最小权限单元应用链如WEB_SERVICES、REDIS是模板的最终执行层它体现“最小权限原则”。以WEB_SERVICES为例它不只开放80和443端口还要限制来源IP段、设置连接数限制、防止SYN洪水。这才是生产环境该有的样子# 续上 /etc/iptables.template *filter # ... 前面定义 ... :WEB_SERVICES - [0:0] :REDIS - [0:0] # WEB_SERVICES链精确控制Web服务 -A WEB_SERVICES -s 192.168.1.0/24 -p tcp --dport 80 -m state --state NEW -m limit --limit 10/sec --limit-burst 20 -j ACCEPT -A WEB_SERVICES -s 10.0.0.0/8 -p tcp --dport 443 -m state --state NEW -m connlimit --connlimit-above 50 --connlimit-mask 32 -j REJECT --reject-with icmp-port-unreachable -A WEB_SERVICES -p tcp --dport 80 -m state --state NEW -j LOG --log-prefix HTTP-ACCESS-DENIED: -A WEB_SERVICES -p tcp --dport 80 -m state --state NEW -j REJECT --reject-with icmp-host-prohibited # REDIS链仅允许内网访问且限制连接速率 -A REDIS -s 192.168.1.0/24 -p tcp --dport 6379 -m state --state NEW -m hashlimit --hashlimit-above 5/min --hashlimit-burst 10 --hashlimit-mode srcip --hashlimit-name redis_limit -j REJECT --reject-with icmp-host-prohibited -A REDIS -s 192.168.1.0/24 -p tcp --dport 6379 -m state --state NEW -j ACCEPT COMMIT看到这里你可能疑惑为什么WEB_SERVICES里既有-j ACCEPT又有-j REJECT这是规则顺序即策略的体现。iptables按从上到下顺序匹配第一条匹配就执行动作并停止。所以-s 192.168.1.0/24的白名单规则必须放在前面后面的-j REJECT才是兜底。如果顺序颠倒所有流量都会被拒绝。我在电表平台就因此出过事故运维把一条-j ACCEPT规则拖到文件末尾结果所有HTTP请求都被REJECT拦截监控告警疯狂刷屏。3. 持久化落地绕过14.04缺失的iptables-persistent的替代方案Ubuntu 14.04官方源里没有iptables-persistent包这是事实。但很多人因此走向两个极端要么放弃持久化接受重启后防火墙失效的风险要么用iptables-save /etc/iptables.rules然后写个/etc/network/if-pre-up.d/iptables脚本加载结果发现脚本根本不执行——因为14.04的networking服务启动顺序和规则加载时机有微妙差异。真正的解法是把持久化变成一个可审计、可触发、可回滚的原子操作而不是依赖系统服务的隐式行为。3.1 规则存储template文件与rules文件的分离哲学我们坚持一个原则/etc/iptables.template是人类可读、可版本控制的源文件而/etc/iptables.rules是机器生成、仅用于加载的二进制等效文件。两者绝不混用。template文件里可以写注释、空行、变量占位符如# PORT_HTTP: 80而rules文件必须是iptables-save输出的标准格式不含任何注释。这种分离带来三个好处第一开发人员修改template时无需担心格式错误第二git diff能清晰看到策略变更第三当rules文件损坏时可随时用template重建。构建rules文件的脚本/usr/local/bin/iptables-compile.sh如下#!/bin/bash # /usr/local/bin/iptables-compile.sh set -e TEMPLATE/etc/iptables.template RULES/etc/iptables.rules BACKUP/etc/iptables.rules.$(date %Y%m%d_%H%M%S) # 步骤1备份当前生效规则非template if [ -f $RULES ]; then cp $RULES $BACKUP fi # 步骤2用template生成临时规则文件 # 关键用iptables-restore -c 验证语法不实际加载 TEMP_FILE$(mktemp) sed /^#/d; /^$/d $TEMPLATE $TEMP_FILE if ! iptables-restore -c $TEMP_FILE 2/dev/null; then echo ERROR: Template syntax invalid at $(grep -n ^[^#] $TEMPLATE | tail -1 | cut -d: -f1) rm $TEMP_FILE exit 1 fi # 步骤3生成标准rules文件 iptables-save $RULES.new # 替换为template内容因为iptables-save输出的是当前状态不是template cat $TEMP_FILE $RULES.new mv $RULES.new $RULES # 步骤4清理 rm $TEMP_FILE echo Template compiled to $RULES这个脚本的核心在于iptables-restore -c的语法校验。它会模拟加载template检查所有链名、模块名、参数是否合法但不改变当前规则。如果校验失败脚本会精准定位到template文件中第几行出错并退出。这比iptables-restore template直接报错然后满屏Bad argument有用得多。我当年在调试--hashlimit-mode srcip时就靠这个定位到是14.04的hashlimit模块不支持srcip参数必须降级为srcport。3.2 加载时机为什么不能依赖if-pre-up.d14.04的网络接口启动脚本/etc/network/if-pre-up.d/有一个致命缺陷它只在ifup命令执行时触发而ifup只在接口up时运行。但防火墙规则需要在网络子系统初始化完成之后、任何服务启动之前就加载。如果等eth0up了再加载中间有几十毫秒窗口期恶意扫描可能已经进来。正确的时机是rc.local但它在14.04中默认不执行。我们的方案是修改/etc/init.d/rc.local确保它被启用并在其中加入规则加载# /etc/init.d/rc.local #!/bin/sh -e # # rc.local # # This script is executed at the end of each multiuser runlevel. # Make sure that the script will exit 0 on success or any other # value on error. # # In order to enable or disable this script, just change the execution # bits. # # By default this script does nothing. # Load iptables rules before any network service starts if [ -f /etc/iptables.rules ]; then echo Loading iptables rules from /etc/iptables.rules iptables-restore /etc/iptables.rules 2/dev/null || { echo ERROR: Failed to load iptables rules. Restoring backup. # 自动回滚到上一个备份 LATEST_BACKUP$(ls -t /etc/iptables.rules.* 2/dev/null | head -1) if [ -n $LATEST_BACKUP ]; then iptables-restore $LATEST_BACKUP 2/dev/null echo Restored from $LATEST_BACKUP else # 终极兜底清空所有规则回到默认DROP iptables -P INPUT DROP iptables -P FORWARD DROP iptables -P OUTPUT ACCEPT iptables -F iptables -X echo No backup found. Reset to default policy. fi } fi exit 0注意这里的双重保护iptables-restore失败后先尝试恢复最新备份如果没有备份则执行iptables -P INPUT DROP等命令把策略重置为最安全的默认状态。这比让服务器裸奔强一万倍。我们在电表平台就触发过这个兜底逻辑某次磁盘满导致/etc/iptables.rules写入一半就中断iptables-restore报错脚本自动执行iptables -P INPUT DROP虽然业务暂时中断但避免了攻击者利用空规则窗口入侵。3.3 版本控制与灰度发布template的Git工作流既然template是源文件就必须纳入版本控制。我们在/etc/iptables.template同目录下建.git仓库cd /etc git init git add iptables.template git commit -m Initial firewall template for meter gateway每次修改前先git pull同步修改后git commit -m Open port 6379 for Redis cluster上线前git push到中央仓库。这样做的价值在故障排查时凸显当某天发现SSH无法连接git log能立刻告诉你三天前谁提交了-A INPUT -j DROP规则git show能看清那行规则加在什么位置。我们甚至用Git Hooks实现灰度发布在post-commit钩子里自动在测试服务器上编译并加载template只有测试通过才允许推送到生产分支。4. 状态验证与故障诊断从“iptables -L”到可编程检查在14.04环境下iptables -L输出的信息量严重不足。它不显示规则编号、不显示匹配计数器、不显示模块参数详情。当你看到REJECT规则时无法判断它是被触发了100次还是0次当你怀疑某条规则没生效-L只会告诉你“规则存在”却不告诉你“为什么没匹配”。真正的状态验证必须是可量化、可追溯、可自动化的。4.1 计数器驱动的规则健康检查iptables内核为每条规则维护一个计数器packet count和byte count。我们编写/usr/local/bin/iptables-check.sh定期检查关键规则的计数器变化#!/bin/bash # /usr/local/bin/iptables-check.sh # 检查SSH放行规则是否被触发 SSH_COUNT$(iptables -L INPUT -v -n | grep tcp dpt:22 | awk {print $1}) if [ $SSH_COUNT 0 ]; then echo WARNING: SSH rule (dpt:22) has zero packet count. Check if its positioned correctly. # 定位规则位置 iptables -L INPUT --line-numbers | grep dpt:22 fi # 检查REJECT规则是否被频繁触发可能表示攻击 REJECT_COUNT$(iptables -L INPUT -v -n | grep REJECT | awk {sum$1} END {print sum0}) if [ $REJECT_COUNT -gt 1000 ]; then echo ALERT: REJECT rules triggered $REJECT_COUNT times in last check. Possible scan detected. # 导出最近10分钟被拒绝的IP journalctl -u kernel | grep INeth0.*DROP | tail -20 | awk {print $11} | cut -d -f2 | sort | uniq -c | sort -nr | head -5 fi这个脚本每天通过cron执行# /etc/cron.d/iptables-check 0 * * * * root /usr/local/bin/iptables-check.sh /var/log/iptables-check.log 21它解决了iptables -L的最大痛点把静态规则变成动态指标。当SSH计数器为0时我们立刻检查规则位置——果然发现它被插在-j SERVICE之后而-j SERVICE已经截断了所有NEW连接导致SSH规则根本没机会匹配。这个发现直接推动我们重构了SERVICE链的设计逻辑。4.2 日志关联分析把iptables和系统日志打通14.04的rsyslog默认不记录iptables日志。我们必须手动配置让LOG目标的日志进入统一管道。编辑/etc/rsyslog.d/iptables.conf# Log iptables messages to own file :msg, contains, iptables: -/var/log/iptables.log stop然后在template中所有需要审计的规则都加上-j LOG# 在WEB_SERVICES链中 -A WEB_SERVICES -p tcp --dport 80 -m state --state NEW -j LOG --log-prefix HTTP-ACCESS: -A WEB_SERVICES -p tcp --dport 80 -m state --state NEW -j ACCEPT这样/var/log/iptables.log里就会有Jun 15 10:23:45 gateway kernel: [12345.678901] HTTP-ACCESS: INeth0 OUT MACxx:xx:xx:xx:xx:xx SRC192.168.1.100 DST192.168.1.1 LEN60 TOS0x00 PREC0x00 TTL64 ID12345 DF PROTOTCP SPT54321 DPT80 WINDOW29200 RES0x00 SYN URGP0现在诊断问题就变成组合查询当用户报告HTTP访问慢时我们执行# 查看最近10分钟HTTP访问日志 tail -n 100 /var/log/iptables.log | grep HTTP-ACCESS | wc -l # 查看被拒绝的IP来自REJECT规则的日志 grep HTTP-ACCESS-DENIED /var/log/iptables.log | awk {print $10} | cut -d -f2 | sort | uniq -c | sort -nr | head -3这比盯着iptables -L猜要高效十倍。我们在电表平台就用这个方法快速定位到一个DDoS攻击源日志显示192.168.1.200在1分钟内触发了2300次HTTP-ACCESS-DENIED而其他IP最多3次。立即在template中添加-s 192.168.1.200 -j DROP并重新编译攻击流量瞬间归零。4.3 故障快照一键生成诊断包当网络异常发生时最宝贵的是故障瞬间的完整状态快照。我们编写/usr/local/bin/iptables-snapshot.sh它会在3秒内收集所有关键信息#!/bin/bash # /usr/local/bin/iptables-snapshot.sh SNAPSHOT_DIR/var/log/iptables-snapshot-$(date %Y%m%d_%H%M%S) mkdir -p $SNAPSHOT_DIR # 1. 当前所有规则含计数器 iptables -L -v -n $SNAPSHOT_DIR/iptables-L.txt iptables-save $SNAPSHOT_DIR/iptables-save.txt # 2. 内核netfilter状态 cat /proc/net/ip_tables_names $SNAPSHOT_DIR/ip_tables_names.txt cat /proc/net/nf_conntrack_count $SNAPSHOT_DIR/nf_conntrack_count.txt # 3. 网络接口状态 ip addr show $SNAPSHOT_DIR/ip-addr.txt ip route show $SNAPSHOT_DIR/ip-route.txt # 4. 最近iptables日志 journalctl -u kernel | grep iptables: | tail -100 $SNAPSHOT_DIR/kernel-iptables.log echo Snapshot saved to $SNAPSHOT_DIR运维同事只需在故障时执行sudo iptables-snapshot.sh就能得到一个包含12个文件的诊断包。这个包可以直接发给专家分析无需远程登录、无需猜测、无需重复操作。它让故障响应时间从小时级降到分钟级。5. 实战避坑指南那些在14.04上踩过的深坑与填坑技巧Ubuntu 14.04的iptables不是简单的命令集合而是一个布满历史包袱的生态系统。下面这些坑每一个都来自真实生产环境每一个都有血泪教训。5.1 “切换路由状态失败写入 codex 配置失败”类错误的真相搜索热词里频繁出现的codex 配置失败、failed to download template from registry表面看是Docker或AI工具链的问题但根源常在iptables。14.04的Docker 1.6默认使用docker0网桥它依赖iptables的DOCKER链。如果你在template里写了-N DOCKER或-A DOCKER而Docker服务尚未启动iptables-restore会报no chain/target/match by that name。更糟的是Docker启动时会自动创建DOCKER链但如果你的template里也有同名链规则会冲突。填坑技巧永远不要在template里定义Docker专用链。改为在Docker启动后用iptables -t nat -A PREROUTING等规则做端口映射或者干脆禁用Docker的iptables管理# /etc/default/docker DOCKER_OPTS--iptablesfalse然后在template里只处理宿主机网络让Docker自己管容器网络。这样既解耦又避免冲突。5.2 iptables同时配置多个IP访问相同端口的正确姿势热词iptables同时配置多个ip访问相同端口号背后是常见的误解以为-s 192.168.1.100,192.168.1.101就能搞定。实际上14.04的iprange模块不支持逗号分隔必须用-m iprange# 错误写法会报错 -A WEB_SERVICES -s 192.168.1.100,192.168.1.101 -p tcp --dport 80 -j ACCEPT # 正确写法用iprange模块 -A WEB_SERVICES -m iprange --src-range 192.168.1.100-192.168.1.101 -p tcp --dport 80 -j ACCEPT # 或者用multiport配合多个规则 -A WEB_SERVICES -s 192.168.1.100 -p tcp --dport 80 -j ACCEPT -A WEB_SERVICES -s 192.168.1.101 -p tcp --dport 80 -j ACCEPT但要注意iprange模块在14.04中需要modprobe iprange且不支持跨网段。所以对于分散IP用多条规则更稳妥。5.3 端口转发失效的链路排查法iptables 端口转发失效是高频问题。在14.04上必须检查四个环节内核IP转发是否开启sysctl net.ipv4.ip_forward必须为1且/etc/sysctl.conf里有net.ipv4.ip_forward1PREROUTING链是否在nat表中iptables -t nat -L -n必须看到-A PREROUTING -p tcp --dport 8080 -j DNAT --to-destination 192.168.1.10:80FORWARD链是否允许转发iptables -L FORWARD -n必须有对应放行规则如-A FORWARD -d 192.168.1.10 -p tcp --dport 80 -j ACCEPTPOSTROUTING链是否做SNAT如果目标服务器需要回包给客户端iptables -t nat -L POSTROUTING -n应有-A POSTROUTING -s 192.168.1.0/24 -d 192.168.1.10 -j MASQUERADE我们封装了一个检查脚本iptables-port-forward-check 8080它自动遍历这四步并高亮失败项。这个脚本救了我们无数次。5.4 最后的保命技巧单用户模式下的iptables急救当规则配置错误导致完全失联时物理访问服务器是最后手段。但在14.04上你可以用GRUB单用户模式急救重启服务器在GRUB菜单按e编辑启动项找到linux行在末尾添加init/bin/bash按CtrlX启动系统会直接进入root shell无密码执行mount -o remount,rw /挂载根分区为可写iptables -P INPUT ACCEPT清空策略exec /sbin/init重启系统这个技巧让我们在深夜远程修复了数十次“连不上SSH”的紧急故障。记住init/bin/bash是14.04的救命稻草务必记牢。我在电表平台最后一年这套模板支撑了23台14.04网关机稳定运行零安全事故。它不追求技术炫技只坚守一个信条在老旧系统上可靠性比先进性重要一百倍。当你面对一个EOL的操作系统时别想着用新工具“拯救”它而是用最扎实的工程实践把它变成你手中最可靠的工具。现在你可以打开/etc/iptables.template从第一行*filter开始亲手构建属于你的第一道防线。