Linux防火墙工具深度解析：从netfilter到nftables

情境(Situation)

在网络安全日益重要的今天，Linux防火墙是保护服务器和网络的第一道防线。作为SRE工程师，我们需要掌握各种Linux防火墙工具的使用方法和最佳实践，确保系统安全。

然而，Linux防火墙工具种类繁多，从底层的netfilter到用户态的iptables、nftables和ufw，每种工具都有其特点和适用场景。如何选择和配置合适的防火墙工具，成为SRE工程师必须面对的挑战。

冲突(Conflict)

在实际应用中，SRE工程师经常面临以下挑战：

工具选择：不知道该选择哪种防火墙工具
配置复杂性：iptables语法复杂，难以掌握
性能问题：防火墙规则过多导致性能下降
规则管理：规则混乱，难以维护
安全配置：不知道如何配置安全的防火墙规则

问题(Question)

如何选择和配置合适的Linux防火墙工具，构建安全、高效的防火墙系统？

答案(Answer)

本文将从SRE视角出发，详细介绍Linux防火墙工具的层次结构、使用方法和最佳实践，提供一套完整的企业级防火墙配置解决方案。核心方法论基于 SRE面试题解析：netfilter,nftables, iptables，ufw用法和区别？。

一、Linux防火墙架构

1.1 防火墙层次结构

Linux防火墙层次：

层次	工具	位置	功能	推荐度
内核层	netfilter	Linux内核	包过滤、NAT、包修改	内置
用户态工具	iptables	用户空间	传统防火墙配置	⭐⭐⭐
用户态工具	nftables	用户空间	新一代防火墙配置	⭐⭐⭐⭐⭐
前端工具	ufw	用户空间	简化防火墙操作	⭐⭐⭐⭐

1.2 netfilter内核框架

netfilter钩子点：

钩子点	位置	作用
PREROUTING	路由前	处理进入的数据包，在路由决策前
INPUT	入站	处理目的地是本地的数据包
FORWARD	转发	处理需要转发的数据包
OUTPUT	出站	处理本地生成的数据包
POSTROUTING	路由后	处理即将离开的数据包，在路由决策后

netfilter功能：

包过滤：根据规则允许或拒绝数据包
网络地址转换（NAT）：修改数据包的源或目标地址
包修改：修改数据包的内容
连接跟踪：跟踪网络连接状态

二、iptables详解

2.1 四表五链结构

iptables表：

表	功能	适用链
filter	包过滤	INPUT、FORWARD、OUTPUT
nat	网络地址转换	PREROUTING、OUTPUT、POSTROUTING
mangle	包修改	PREROUTING、INPUT、FORWARD、OUTPUT、POSTROUTING
raw	关闭连接跟踪	PREROUTING、OUTPUT
security	安全上下文	INPUT、FORWARD、OUTPUT

iptables链：

链	位置	作用
PREROUTING	路由前	处理进入的数据包
INPUT	入站	处理目的地是本地的数据包
FORWARD	转发	处理需要转发的数据包
OUTPUT	出站	处理本地生成的数据包
POSTROUTING	路由后	处理即将离开的数据包

2.2 基本命令

查看规则：

# 查看所有规则
iptables -vnL

# 查看特定表的规则
iptables -t nat -vnL

# 查看规则编号
iptables -vnL --line-numbers

添加规则：

# 允许SSH
iptables -A INPUT -p tcp --dport 22 -j ACCEPT

# 允许已建立的连接
iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

# 允许回环接口
iptables -A INPUT -i lo -j ACCEPT

# 默认拒绝所有入站
iptables -P INPUT DROP

# 允许HTTP
iptables -A INPUT -p tcp --dport 80 -j ACCEPT

# 允许HTTPS
iptables -A INPUT -p tcp --dport 443 -j ACCEPT

删除规则：

# 根据规则编号删除
iptables -D INPUT 5

# 根据规则内容删除
iptables -D INPUT -p tcp --dport 80 -j ACCEPT

修改规则：

# 插入规则
iptables -I INPUT 1 -i lo -j ACCEPT

# 替换规则
iptables -R INPUT 3 -p tcp --dport 22 -j ACCEPT

2.3 保存和加载规则

保存规则：

# 保存到文件
iptables-save > /etc/iptables/rules.v4
ip6tables-save > /etc/iptables/rules.v6

# 系统启动时加载
# Debian/Ubuntu
apt-get install iptables-persistent

# CentOS/RHEL
service iptables save

加载规则：

# 从文件加载
iptables-restore < /etc/iptables/rules.v4
ip6tables-restore < /etc/iptables/rules.v6

2.4 高级配置

NAT配置：

# 端口转发
iptables -t nat -A PREROUTING -p tcp --dport 8080 -j DNAT --to-destination 192.168.1.10:80

# 源地址转换
iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -o eth0 -j MASQUERADE

# 内部服务访问
iptables -t nat -A OUTPUT -d 1.2.3.4 -p tcp --dport 80 -j DNAT --to-destination 192.168.1.10:80

连接跟踪：

# 增加连接跟踪表大小
sysctl -w net.nf_conntrack_max=655360

# 调整连接跟踪超时
sysctl -w net.netfilter.nf_conntrack_tcp_timeout_established=1200

# 关闭不必要的连接跟踪
iptables -t raw -A PREROUTING -p tcp --dport 80 -j NOTRACK
iptables -t raw -A OUTPUT -p tcp --sport 80 -j NOTRACK

速率限制：

# 限制SSH连接速率
iptables -A INPUT -p tcp --dport 22 -m limit --limit 5/min --limit-burst 10 -j ACCEPT

# 限制ICMP请求
iptables -A INPUT -p icmp --icmp-type echo-request -m limit --limit 1/s -j ACCEPT

三、nftables详解

3.1 基本概念

nftables结构：

表（Table）：规则的容器，按协议和用途分类
链（Chain）：规则的集合，附加到特定的钩子点
规则（Rule）：匹配条件和动作
表达式（Expression）：匹配条件
语句（Statement）：动作或操作

nftables优势：

统一语法，支持IPv4和IPv6
哈希表存储，性能更高
动态更新，无需重启服务
更灵活的规则结构
支持集合和映射

3.2 基本命令

查看规则：

# 查看所有规则集
nft list ruleset

# 查看特定表
nft list table inet filter

# 查看特定链
nft list chain inet filter input

创建表和链：

# 创建表
nft add table inet filter

# 创建链
nft add chain inet filter input { type filter hook input priority 0 ; policy drop ; }
nft add chain inet filter output { type filter hook output priority 0 ; policy accept ; }
nft add chain inet filter forward { type filter hook forward priority 0 ; policy drop ; }

添加规则：

# 允许回环接口
nft add rule inet filter input iif lo accept

# 允许已建立的连接
nft add rule inet filter input ct state established,related accept

# 允许SSH
nft add rule inet filter input tcp dport 22 accept

# 允许HTTP和HTTPS
nft add rule inet filter input tcp dport { 80, 443 } accept

# 允许ICMP
nft add rule inet filter input icmp type echo-request accept

删除规则：

# 删除表
nft delete table inet filter

# 删除链
nft delete chain inet filter input

# 删除规则
nft delete rule inet filter input handle 5

3.3 保存和加载规则

保存规则：

# 保存到文件
nft list ruleset > /etc/nftables.conf

# 系统启动时加载
# Debian/Ubuntu
apt-get install nftables
systemctl enable nftables

# CentOS/RHEL
yum install nftables
systemctl enable nftables

加载规则：

# 从文件加载
nft -f /etc/nftables.conf

3.4 高级配置

NAT配置：

# 创建nat表
nft add table ip nat

# 创建链
nft add chain ip nat prerouting { type nat hook prerouting priority 0 ; }
nft add chain ip nat postrouting { type nat hook postrouting priority 100 ; }

# 端口转发
nft add rule ip nat prerouting tcp dport 8080 dnat to 192.168.1.10:80

# 源地址转换
nft add rule ip nat postrouting ip saddr 192.168.1.0/24 oif eth0 masquerade

集合和映射：

# 创建IP集合
nft add set inet filter allowed_ips { type ipv4_addr ; flags interval ; }
nft add element inet filter allowed_ips { 192.168.1.0/24, 10.0.0.0/8 }

# 使用集合
nft add rule inet filter input ip saddr @allowed_ips accept

# 创建端口集合
nft add set inet filter allowed_ports { type inet_service ; flags interval ; }
nft add element inet filter allowed_ports { 22, 80, 443 }

# 使用端口集合
nft add rule inet filter input tcp dport @allowed_ports accept

速率限制：

# 限制SSH连接速率
nft add rule inet filter input tcp dport 22 limit rate 5/minute burst 10 packets accept

# 限制ICMP请求
nft add rule inet filter input icmp type echo-request limit rate 1/second accept

四、ufw详解

4.1 基本概念

ufw（Uncomplicated Firewall）是Ubuntu系统默认的防火墙前端工具，提供了简化的命令接口，适合新手和小型服务器使用。

ufw特点：

命令简单直观
默认规则合理
支持应用配置文件
适合快速部署

4.2 基本命令

状态管理：

# 查看状态
ufw status

# 查看详细状态
ufw status verbose

# 查看已启用的规则
ufw status numbered

# 启用防火墙
ufw enable

# 禁用防火墙
ufw disable

# 重置防火墙
ufw reset

规则管理：

# 允许SSH
ufw allow ssh

# 允许特定端口
ufw allow 80/tcp

# 允许特定范围的端口
ufw allow 6000:7000/tcp

# 允许特定IP
ufw allow from 192.168.1.10

# 允许特定IP访问特定端口
ufw allow from 192.168.1.10 to any port 22

# 拒绝规则
ufw deny 8080/tcp

# 删除规则
ufw delete allow ssh

默认策略：

# 设置默认入站策略
ufw default deny incoming

# 设置默认出站策略
ufw default allow outgoing

4.3 应用配置文件

应用配置文件：

# 查看可用的应用配置
ufw app list

# 查看应用详情
ufw app info "OpenSSH"

# 允许应用
ufw allow "OpenSSH"
ufw allow "Nginx Full"

自定义应用配置：

# 创建应用配置文件
cat > /etc/ufw/applications.d/myapp << EOF
[MyApp]
title=My Application
description=My custom application
ports=8080/tcp
EOF

# 重新加载应用配置
ufw app update MyApp

# 允许应用
ufw allow MyApp

五、防火墙工具对比

5.1 功能对比

工具	语法	性能	功能	适用场景
iptables	复杂	中	传统四表五链	旧系统、简单规则
nftables	简洁统一	高	统一语法、集合、映射	新系统、高性能、复杂规则
ufw	简单	中	简化操作	Ubuntu、新手、小型服务器

5.2 迁移策略

从iptables迁移到nftables：

# 安装nftables
apt-get install nftables

# 转换iptables规则
iptables-save > iptables.rules
iptables-restore-translate -f iptables.rules > nftables.conf

# 加载nftables规则
nft -f nftables.conf

# 禁用iptables，启用nftables
systemctl stop iptables
systemctl disable iptables
systemctl start nftables
systemctl enable nftables

从ufw迁移到nftables：

# 查看ufw规则
ufw status verbose

# 手动转换为nftables规则
# 参考ufw的规则，创建相应的nftables规则

六、防火墙最佳实践

6.1 安全配置原则

最小权限原则：

默认拒绝所有入站连接
只允许必要的服务和端口
限制源IP地址
定期审查规则

规则顺序：

先放行为规则（ACCEPT）
后放拒绝规则（DROP/REJECT）
最后设置默认策略

重要服务保护：

先放行SSH（22端口）
允许回环接口（lo）
允许已建立的连接
限制SSH连接速率

6.2 生产环境配置示例

基本防火墙配置：

# iptables配置
# 清空现有规则
iptables -F
iptables -X

# 设置默认策略
iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT ACCEPT

# 允许回环接口
iptables -A INPUT -i lo -j ACCEPT

# 允许已建立的连接
iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

# 允许SSH
iptables -A INPUT -p tcp --dport 22 -j ACCEPT

# 允许HTTP和HTTPS
iptables -A INPUT -p tcp --dport 80 -j ACCEPT
iptables -A INPUT -p tcp --dport 443 -j ACCEPT

# 允许ICMP（可选）
iptables -A INPUT -p icmp --icmp-type echo-request -j ACCEPT

# 保存规则
iptables-save > /etc/iptables/rules.v4

nftables配置：

# nftables配置
cat > /etc/nftables.conf << EOF
flush ruleset

table inet filter {
    chain input {
        type filter hook input priority 0 ; policy drop ;
        iif lo accept
        ct state established,related accept
        tcp dport 22 accept
        tcp dport { 80, 443 } accept
        icmp type echo-request accept
    }
    chain forward {
        type filter hook forward priority 0 ; policy drop ;
    }
    chain output {
        type filter hook output priority 0 ; policy accept ;
    }
}
EOF

# 加载规则
nft -f /etc/nftables.conf

ufw配置：

# ufw配置
ufw default deny incoming
ufw default allow outgoing
ufw allow ssh
ufw allow http
ufw allow https
ufw enable

6.3 常见服务配置

Web服务器：

# 允许HTTP和HTTPS
ufw allow 80/tcp
ufw allow 443/tcp

# 或使用应用配置
ufw allow "Nginx Full"

数据库服务器：

# 只允许特定IP访问MySQL
ufw allow from 192.168.1.0/24 to any port 3306

# 只允许特定IP访问PostgreSQL
ufw allow from 192.168.1.0/24 to any port 5432

邮件服务器：

# 允许SMTP
ufw allow 25/tcp

# 允许IMAP
ufw allow 143/tcp

# 允许POP3
ufw allow 110/tcp

# 允许SSL版本
ufw allow 465/tcp  # SMTPS
ufw allow 993/tcp  # IMAPS
ufw allow 995/tcp  # POP3S

七、防火墙性能优化

7.1 性能瓶颈

常见性能瓶颈：

规则数量过多
复杂的匹配条件
连接跟踪表过大
硬件资源限制

7.2 优化策略

规则优化：

减少规则数量
合理组织规则顺序（频繁匹配的规则放在前面）
使用集合和映射（nftables）
避免不必要的连接跟踪

连接跟踪优化：

调整连接跟踪表大小
调整连接超时时间
对不需要连接跟踪的流量使用raw表

硬件优化：

使用高性能网卡
启用网卡多队列
考虑使用硬件防火墙

工具选择：

高并发场景使用nftables
减少规则数量
优化规则结构

7.3 性能测试

测试工具：

iperf3：网络吞吐量测试
netperf：网络性能测试
hping3：网络数据包生成
ab：HTTP性能测试

测试方法：

# 测试网络吞吐量
iperf3 -s  # 服务端
iperf3 -c server-ip  # 客户端

# 测试防火墙规则性能
hping3 -c 1000 -d 100 -S server-ip

# 测试HTTP性能
ab -n 1000 -c 100 http://server-ip/

八、防火墙监控与维护

8.1 监控工具

监控工具：

iptables-logger：记录防火墙日志
fail2ban：防止暴力破解
Wazuh：安全监控
ELK Stack：日志分析

日志监控：

# 配置防火墙日志
# iptables
# 在规则中添加-j LOG

iptables -A INPUT -p tcp --dport 22 -j LOG --log-prefix "[SSH] "

# 查看防火墙日志
tail -f /var/log/kern.log | grep "[SSH]"

# fail2ban配置
apt-get install fail2ban

# 创建配置文件
cat > /etc/fail2ban/jail.local << EOF
[sshd]
enabled = true
port = ssh
filter = sshd
logpath = /var/log/auth.log
maxretry = 5
bantime = 3600
EOF

# 启动服务
systemctl restart fail2ban

8.2 定期维护

维护任务：

定期审查防火墙规则
更新防火墙配置
检查日志中的异常
测试防火墙规则
备份防火墙配置

维护脚本：

#!/bin/bash

# 备份防火墙规则
date=$(date +%Y%m%d)
iptables-save > /backup/iptables-rules-$date.v4
nft list ruleset > /backup/nftables-rules-$date.conf

# 检查规则数量
echo "=== iptables规则数量 ==="
iptables -L | wc -l

echo "=== nftables规则数量 ==="
nft list ruleset | wc -l

# 检查连接跟踪表
echo "=== 连接跟踪表使用情况 ==="
cat /proc/sys/net/netfilter/nf_conntrack_count
cat /proc/sys/net/netfilter/nf_conntrack_max

# 检查防火墙日志
echo "=== 最近的防火墙日志 ==="
tail -n 50 /var/log/kern.log | grep "DROP"

8.3 常见问题排查

常见问题：

问题	可能原因	解决方案
SSH被拒绝	防火墙规则未放行22端口	检查INPUT链是否有允许22端口的规则
规则重启失效	规则未保存	使用iptables-save或nft list ruleset保存规则
性能下降	规则过多或连接跟踪表过大	优化规则，调整连接跟踪参数
端口映射失败	NAT规则配置错误	检查nat表的PREROUTING和POSTROUTING链
网络不通	默认策略设置错误	检查默认策略，确保已建立的连接被允许

排查步骤：

检查防火墙状态
查看当前规则
检查日志
测试网络连接
调整规则
验证效果

九、企业级防火墙解决方案

9.1 多层防火墙架构

多层防火墙设计：

边界防火墙：保护网络边界
内部防火墙：隔离内部网络
应用防火墙：保护特定应用
主机防火墙：保护单个主机

网络分段：

DMZ区：放置对外服务
内部网络：放置内部服务
管理网络：放置管理设备
开发网络：放置开发环境

9.2 防火墙管理平台

管理平台：

FirewallD：动态防火墙管理
Ansible：自动化配置管理
Puppet：配置管理
Chef：配置管理

Ansible配置示例：

# ansible-playbook firewall.yml
---
- hosts: all
  become: yes
  tasks:
    - name: 安装nftables
      apt:
        name: nftables
        state: present
    
    - name: 配置nftables
      copy:
        content: |
          flush ruleset
          
          table inet filter {
              chain input {
                  type filter hook input priority 0 ; policy drop ;
                  iif lo accept
                  ct state established,related accept
                  tcp dport 22 accept
                  tcp dport { 80, 443 } accept
              }
              chain forward {
                  type filter hook forward priority 0 ; policy drop ;
              }
              chain output {
                  type filter hook output priority 0 ; policy accept ;
              }
          }
        dest: /etc/nftables.conf
    
    - name: 启动nftables服务
      service:
        name: nftables
        state: started
        enabled: yes

9.3 高可用防火墙

高可用配置：

VRRP：虚拟路由冗余协议
Keepalived：实现VRRP
Carp：Common Address Redundancy Protocol

Keepalived配置示例：

# /etc/keepalived/keepalived.conf
vrrp_instance VI_1 {
    state MASTER
    interface eth0
    virtual_router_id 51
    priority 100
    advert_int 1
    authentication {
        auth_type PASS
        auth_pass 1111
    }
    virtual_ipaddress {
        192.168.1.100
    }
}

十、最佳实践总结

10.1 核心原则

Linux防火墙核心原则：

最小权限：默认拒绝所有入站连接
明确规则：规则清晰，易于理解和维护
性能优化：合理组织规则，避免性能瓶颈
安全优先：优先保护关键服务
定期审查：定期检查和更新防火墙规则
备份配置：定期备份防火墙配置
监控告警：监控防火墙状态和日志
文档记录：记录防火墙配置和变更

10.2 配置建议

生产环境配置清单：

推荐命令：

查看规则：iptables -vnL、nft list ruleset、ufw status
保存规则：iptables-save > /etc/iptables/rules.v4、nft list ruleset > /etc/nftables.conf
加载规则：iptables-restore < /etc/iptables/rules.v4、nft -f /etc/nftables.conf
启动服务：systemctl start nftables、ufw enable
监控日志：tail -f /var/log/kern.log、journalctl -u nftables

10.3 经验总结

常见误区：

规则过于复杂：导致难以维护和调试
默认策略过于宽松：降低安全性
忽略日志监控：无法及时发现安全问题
规则顺序不当：影响性能和功能
未定期更新规则：无法适应业务变化

成功经验：

标准化配置：建立统一的防火墙配置标准
自动化管理：使用Ansible等工具自动化配置
分层防御：实施多层防火墙架构
定期审计：定期审查防火墙规则和日志
持续学习：关注新的安全威胁和防护技术

总结

Linux防火墙是保护系统安全的重要工具，选择合适的防火墙工具和配置方法对系统安全至关重要。通过本文介绍的最佳实践，您可以构建一个安全、高效的防火墙系统。

核心要点：

工具选择：新系统推荐使用nftables，Ubuntu新手使用ufw，旧系统使用iptables
安全配置：遵循最小权限原则，默认拒绝所有入站连接
规则优化：合理组织规则顺序，减少规则数量
性能调优：调整连接跟踪参数，使用nftables提高性能
监控维护：启用日志监控，定期审查规则
企业级解决方案：实施多层防火墙架构，使用自动化工具管理

通过遵循这些最佳实践，我们可以确保系统的安全性和稳定性，为业务应用提供可靠的网络环境。

延伸学习：更多面试相关的Linux防火墙知识，请参考 SRE面试题解析：netfilter,nftables, iptables，ufw用法和区别？。

参考资料

«Docker跨主机通信全攻略：从Overlay到eBPF

Linux系统优化全攻略：从内核到应用»

文档信息

本文作者：soveran zhong
本文链接：https://blog.clockwingsoar.cn/2026/05/01/linux-firewall-best-practices/
版权声明：自由转载-非商用-非衍生-保持署名（创意共享3.0许可证）

Linux防火墙工具深度解析：从netfilter到nftables

Linux防火墙工具深度解析：从netfilter到nftables

情境(Situation)

冲突(Conflict)

问题(Question)

答案(Answer)

一、Linux防火墙架构

1.1 防火墙层次结构

1.2 netfilter内核框架

二、iptables详解

2.1 四表五链结构

2.2 基本命令

2.3 保存和加载规则

2.4 高级配置

三、nftables详解

3.1 基本概念

3.2 基本命令

3.3 保存和加载规则

3.4 高级配置

四、ufw详解

4.1 基本概念

4.2 基本命令

4.3 应用配置文件

五、防火墙工具对比

5.1 功能对比

5.2 迁移策略

六、防火墙最佳实践

6.1 安全配置原则

6.2 生产环境配置示例

6.3 常见服务配置

七、防火墙性能优化

7.1 性能瓶颈

7.2 优化策略

7.3 性能测试

八、防火墙监控与维护

8.1 监控工具

8.2 定期维护

8.3 常见问题排查

九、企业级防火墙解决方案

9.1 多层防火墙架构

9.2 防火墙管理平台

9.3 高可用防火墙

十、最佳实践总结

10.1 核心原则

10.2 配置建议

10.3 经验总结

总结

参考资料

文档信息

Search

Table of Contents