Linux Netfilter/iptables/nftables 防火墙深度工程实战：从 Netfilter Hook 到 conntrack 连接跟踪与 NAT 全链路

# Linux Netfilter/iptables/nftables 防火墙深度工程实战：从 Netfilter Hook 到 conntrack 连接跟踪与 NAT 全链路 ## 一、Netfilter 架构总览：内核包处理的控制面 Linux 网络安全体系的核心是 Netfilter —— 一个嵌入在内核协议栈各关键路径的 Hook 框架。它不修改协议栈本身的代码，而是通过注册回调函数，让内核模块在网络数据包流经的特定检查点（Hook Point）执行自定义逻辑。 ### 1.1 为什么需要 Hook 而非直接修改协议栈 早期内核防火墙实现（如 ipfwadm 直接修改协议栈代码）面临几个严重问题：协议栈演进需要重新 patch、多个防火墙框架无法共存、功能扩展困难。Netfilter 的设计哲学是"在内核协议栈中预定义检查点，允许外部模块注册回调"，实现了关注点分离。 ### 1.2 五个协议族级别的 Hook 点 Netfilter 在内核中定义了 5 个核心 Hook 点，分布在 IPv4 和 IPv6 协议栈的关键路径上： ``` 数据包进入 ──→ [NF_INET_PRE_ROUTING] ──→ 路由决策 ──→ [NF_INET_LOCAL_IN] ──→ 本地进程 │ └──→ [NF_INET_FORWARD] ──→ [NF_INET_POST_ROUTING] ──→ 发出 本地进程发出 ──→ [NF_INET_LOCAL_OUT] ──→ 路由决策 ──→ [NF_INET_POST_ROUTING] ──→ 发出 ``` | Hook | 触发时机 | 典型用途 | |------|---------|---------| | NF_INET_PRE_ROUTING | 包进入网卡后、路由决策前 | DNAT、包过滤（丢弃攻击包） | | NF_INET_LOCAL_IN | 路由决策后、确认为本机接收 | 入站过滤（INPUT 链） | | NF_INET_FORWARD | 路由决策后、确认为需转发 | 转发过滤（FORWARD 链） | | NF_INET_LOCAL_OUT | 本地进程发出、路由决策前 | 出站过滤（OUTPUT 链） | | NF_INET_POST_ROUTING | 路由决策后、发出网卡前 | SNAT、源地址改写 | ### 1.3 Hook 注册机制与优先级 每个 Hook 点维护一个按优先级排序的回调函数链表，核心数据结构 `nf_hook_ops`： ```c struct nf_hook_ops { nf_hookfn *hook; // 回调函数指针 struct net_device *dev; // 绑定的网卡 void *priv; // 私有数据 u8 pf; // 协议族 (NFPROTO_IPV4/IPV6) u8 hooknum; // Hook 点编号 int priority; // 优先级 }; ``` 优先级取值为 `INT_MIN` ~ `INT_MAX`，从小到大排列。iptables 使用的标准优先级为：`NF_IP_PRI_FIRST(-200)`, `NF_IP_PRI_FILTER(0)`, `NF_IP_PRI_NAT_DST(100)`, `NF_IP_PRI_MANGLE(200)`, `NF_IP_PRI_NAT_SRC(300)`。 回调函数返回以下状态码决定包的处理： - `NF_ACCEPT`：继续协议栈正常处理 - `NF_DROP`：丢弃包 - `NF_STOLEN`：回调函数接管包（不再继续处理） - `NF_QUEUE`：将包注入用户态队列（供 iptables -j QUEUE / NFQUEUE） - `NF_REPEAT`：重新触发当前 Hook ## 二、iptables 组织模型：表-链-规则三级结构 iptables 并非直接操作 Netfilter Hook，而是在 Hook 之上构建了"表（Table）→ 链（Chain）→ 规则（Rule）"三层抽象。 ### 2.1 五张表的分工 | 表 | 功能 | 包含的链 | |------|------|---------| | raw | 连接跟踪豁免（NOTRACK） | PREROUTING, OUTPUT | | mangle | 包内容改写（TTL/TOS/Mark） | 全部 5 个链 | | nat | 网络地址转换 | PREROUTING(DNAT), POSTROUTING(SNAT), OUTPUT | | filter | 包过滤（放行/拒绝） | INPUT, FORWARD, OUTPUT | | security | SELinux 上下文标记 | INPUT, FORWARD, OUTPUT | 执行顺序：raw → mangle → nat → filter → security（nat 表分 DNAT 在 PREROUTING、SNAT 在 POSTROUTING 两个位置生效）。 ### 2.2 target 与 match 扩展 每条规则由 match（匹配条件）+ target（动作）构成： **match 示例：** ```bash # 匹配源 IP 网段 iptables -A INPUT -s 192.168.1.0/24 # 匹配 TCP 目标端口 80 或 443 iptables -A INPUT -p tcp -m multiport --dports 80,443 # 匹配连接状态 iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED # 匹配包速率 iptables -A INPUT -m limit --limit 100/s --limit-burst 200 ``` **target 示例：** - `ACCEPT`：允许通过 - `DROP`：静默丢弃（不回复） - `REJECT`：拒绝并回复 ICMP - `LOG`：记录日志（不阻断） - `SNAT`：源地址转换 - `DNAT`：目标地址转换 - `REDIRECT`：端口重定向 - `MARK`：设置 fwmark - `QUEUE`：转发到用户态 ## 三、conntrack 连接跟踪：有状态防火墙的基石 Netfilter 的 `conntrack`（连接跟踪）模块是有状态防火墙的核心。它让原本"无状态"的 iptables 规则（逐包独立判断）变为"基于连接状态"的智能过滤。 ### 3.1 conntrack 数据结构 conntrack 在内核中维护两个全局哈希表： ```c // 连接跟踪表项（每个唯一连接一个） struct nf_conn { struct nf_conntrack hash; // 哈希节点 struct nf_conntrack_tuple_hash[IP_CT_DIR_ORIGINAL/IP_CT_DIR_REPLY]; enum ip_conntrack_info ctinfo; // 当前包在连接中的位置 struct nf_conntrack_expect *master; unsigned long status; // 状态位图 u_int32_t timeout; // 当前超时时间 // ... 协议特定字段 }; // 元组：唯一标识一个连接 struct nf_conntrack_tuple { struct nf_conntrack_man src; // 源地址+端口 struct { __be32 ip; __be16 proto; } dst; // 目标地址+协议 }; ``` ### 3.2 conntrack 生命周期 ``` 新建连接: CLOSED → NEW (首包创建表项) → SYN_SENT (TCP) / UDP_UNREPLY NEW → ESTABLISHED (双向确认) → RELATED (辅助连接, 如 FTP 数据) ESTABLISHED → FIN_WAIT → CLOSE_WAIT → TIME_WAIT(2*MSL) → CLOSED 状态超时: TCP ESTABLISHED: 432000s (5天) TCP TIME_WAIT: 120s UDP 已确认: 180s UDP 未确认: 30s ICMP: 30s ``` ### 3.3 conntrack 与 NAT 的关系 NAT 的本质是修改五元组（协议、源IP、源端口、目标IP、目标端口），conntrack 记录双向映射关系： ``` 原始方向 (ORIGINAL): client:portA → server:80 回复方向 (REPLY): server:80 → client:portA (NAT后: wan_ip:snat_port → client:portA) ``` NAT 实现的关键在于：conntrack 确保返回包能正确反向翻译，所以有状态过滤（`ESTABLISHED,RELATED`）对 NAT 至关重要。 ### 3.4 conntrack 在高性能场景的瓶颈 在高并发下（百万连接），conntrack 成为主要瓶颈： 1. **哈希表争用**：全局哈希表在 CPU 核间竞争（nf_conntrack_lock） 2. **内存占用**：每个 conntrack 表项约 368 字节，100 万连接 ≈ 350MB 3. **超时扫描**：定时器遍历所有活跃连接 **优化手段：** ```bash # 调整哈希表大小（启动参数） modprobe nf_conntrack hashsize=262144 # 增大最大跟踪连接数 sysctl -w net.netfilter.nf_conntrack_max=2000000 # 缩短 TCP ESTABLISHED 超时（平衡内存和安全） sysctl -w net.netfilter.nf_conntrack_tcp_timeout_established=86400 # 关闭不需要协议的跟踪（bridge 环境） sysctl -w net.bridge.bridge-nf-call-iptables=0 # 使用 NOTRACK 跳过特定流量 iptables -t raw -A PREROUTING -p udp --dport 53 -j NOTRACK iptables -t raw -A OUTPUT -p udp --sport 53 -j NOTRACK ``` ## 四、NAT 深度解析：从零拷贝重写到状态机 ### 4.1 SNAT 与 MASQUERADE 的区别 **SNAT（--to-source 固定 IP）：** ```bash # 在 POSTROUTING 链修改源地址为 1.2.3.4 iptables -t nat -A POSTROUTING -o eth0 -j SNAT --to-source 1.2.3.4 ``` **MASQUERADE（动态 IP）：** ```bash # 自动取出口网卡 IP，适合动态 IP 场景（DHCP/PPPoE） iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE ``` conntrack 模块在 POSTROUTING 链的 `NF_IP_PRI_NAT_SRC(-100)` 优先级执行 SNAT；在 PREROUTING 链的 `NF_IP_PRI_NAT_DST(100)` 优先级执行 DNAT。 ### 4.2 FULLCONENAT：解决 P2P 的源端口限制 传统 NAT 要求内部主机主动发起连接后才能被外部访问。FULLCONE NAT（锥形 NAT）允许任何外部主机使用 ` wan_ip:snat_port` 连接内部主机： ```bash # Linux 4.19+ 内核支持 conntrack NAT helper modprobe nf_nat_fullcone # iptables FULLCONE 实现（需要内核 patch 或 nftables） iptables -t nat -A POSTROUTING -j FULLCONE ``` FULLCONE NAT 的优势： - 外部可主动发起连接（P2P/游戏/NAT 打洞） - 不需要分配固定端口 - 兼容 UPnP/NAT-PMP 协议 **代价**：更宽松的 NAT 映射增加了安全风险（端口暴露面），需配合白名单使用。 ### 4.3 NAT hairpin（回环） 内部主机通过外部公网 IP 访问内部另一主机的需求场景（如在家访问 NAS）： ```bash iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -d 192.168.1.0/24 -j MASQUERADE ``` ## 五、nftables：下一代 Linux 防火墙 iptables 的代码复用低（IPv4/IPv6 各自独立实现）、协议扩展困难。nftables 是它的继任者，从 Linux 3.13 引入（2014 年），现已成为主流发行版默认防火墙。 ### 5.1 nftables 核心改进 | 维度 | iptables | nftables | |------|----------|----------| | 代码复用 | IPv4/IPv6/ARP/Bridge 各一套 | 统一 nf_tables 内核模块 | | 原子规则更新 | 全量替换（dump-modify-restore） | 单条规则原子增删 | | 性能 | 线性链式匹配 | 多级集合/映射（O(1) 查找） | | 语法 | 命令式（-A/-D/-I） | 声明式配置语言 | | 表达式 | 固定 extension 匹配 | 通用表达式组合（exthdr/rt/meta） | | 日志 | LOG target 固定字段 | log 语句支持任意前缀和元数据 | ### 5.2 nftables 实战配置 ```bash # 创建表和链 nft add table inet filter nft add chain inet filter input { type filter hook input priority 0 \; policy drop \; } nft add chain inet filter forward { type filter hook forward priority 0 \; policy drop \; } nft add chain inet filter output { type filter hook output priority 0 \; policy accept \; } # 允许已建立的连接 nft add rule inet filter input ct state established,related accept # 允许本地回环 nft add rule inet filter input iif lo accept # 允许 ICMP nft add rule inet filter input ip protocol icmp accept nft add rule inet filter input ip6 nexthdr icmpv6 accept # 允许 SSH 并限速 nft add rule inet filter input tcp dport 22 ct state new limit rate 5/minute accept # 拦截并记录其他入站流量 nft add rule inet filter input log prefix "DROP_INPUT: " counter drop # NAT 配置（在 ip 表中创建） nft add table ip nat nft add chain ip nat postrouting { type nat hook postrouting priority 100 \; } nft add rule ip nat postrouting oif "eth0" masquerade # 集合（网段白名单）nf_tables 优势场景 nft add set inet filter whitelist { type ipv4_addr \; flags timeout \; timeout 1h \; } nft add element inet filter whitelist { 192.168.1.100 timeout 2h, 10.0.0.0/8 } nft add rule inet filter input ip saddr @whitelist accept ``` ### 5.3 nftables 的 verdict map 优化 nftables 的 verdict map 允许根据条件跳转不同链，实现 O(1) 的集束跳转： ```bash nft add map inet filter portmap { type inet_service : verdict \; } nft add element inet filter portmap { 22 : accept, 80 : accept, 443 : accept, 8080 : accept } nft add rule inet filter input tcp dport vmap @portmap drop ``` ## 六、性能优化与生产实践 ### 6.1 iptables 规则优化原则 1. **高频规则前置**：`ESTABLISHED,RELATED` 规则必须放在最前面（跳过大部分判断）： ```bash iptables -I INPUT 1 -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT iptables -I INPUT 2 -i lo -j ACCEPT ``` 2. **批量端口匹配用 multiport**：`-m multiport --dports 80,443,8080` 比 3 条独立规则快 3. **IP 集合用 ipset**：O(1) 查找替代 O(n) 线性匹配： ```bash ipset create blacklist hash:net maxelem 1000000 ipset add blacklist 10.0.0.0/8 iptables -A INPUT -m set --match-set blacklist src -j DROP ``` 4. **避免使用 LOG target 在高性能路径**：LOG 是每个包都执行 5. **raw 表绕过 conntrack**：DNS 等高频 UDP 流量无需跟踪 ### 6.2 conntrack 性能调优完整参数 ```bash # /etc/sysctl.conf # 连接跟踪表大小（哈希桶数量 × 4 为最大连接数） net.netfilter.nf_conntrack_max=2000000 net.netfilter.nf_conntrack_buckets=524288 # 减少超时释放内存 net.netfilter.nf_conntrack_tcp_timeout_time_wait=30 net.netfilter.nf_conntrack_tcp_timeout_fin_wait=30 net.netfilter.nf_conntrack_tcp_timeout_close_wait=10 net.netfilter.nf_conntrack_udp_timeout=15 net.netfilter.nf_conntrack_udp_timeout_stream=60 # 开启 TCP loose 模式（跳过窗口跟踪，高吞吐场景） net.netfilter.nf_conntrack_tcp_loose=0 # 哈希表扩容补救（当 conntrack 表满时不再丢包而是扩容） ``` ### 6.3 eBPF/XDP 替代 conntrack 在 10Gbps+ 的大流量场景，conntrack 成为瓶颈。eBPF/XDP 可以在网卡驱动层实现有状态过滤： ```c // XDP 实现简单 L4 过滤（绕过协议栈 + conntrack） SEC("xdp") int xdp_filter(struct xdp_md *ctx) { void *data_end = (void *)(long)ctx->data_end; void *data = (void *)(long)ctx->data; struct ethhdr *eth = data; if ((void *)(eth + 1) > data_end) return XDP_PASS; // 非 IPv4 直接放行 if (eth->h_proto != bpf_htons(ETH_P_IP)) return XDP_PASS; struct iphdr *ip = (void *)(eth + 1); if ((void *)(ip + 1) > data_end) return XDP_PASS; // XDP 层丢弃（在协议栈之前） if (ip->protocol == IPPROTO_ICMP) return XDP_DROP; if (ip->saddr == bpf_htonl(0x0A000001)) return XDP_DROP; // 10.0.0.1 return XDP_PASS; } ``` XDP 绕过内核协议栈，处理速度可达线速（10Gbps/100Mpps），但丧失 conntrack 有状态能力，适合"安全组"式简单过滤。 ## 七、常见事故与排查方法论 ### 7.1 误操作隔离措施 ```bash # 防止 SSH 被防火墙自己的规则锁死：设置定时回滚 crontab -e */5 * * * * /sbin/iptables-restore < /etc/iptables.safe.rules # 或使用 iptables-apply (自动超时回滚) iptables-apply -t 30 /path/to/new.rules ``` ### 7.2 conntrack 表满了怎么办 当 `nf_conntrack_count >= nf_conntrack_max` 时，新连接无法创建跟踪，返回 `ENOBUFS`（"nf_conntrack: table full, dropping packet"）。 **排查：** ```bash # 查看连接跟踪统计 conntrack -S # 查看当前连接数 wc -l /proc/net/nf_conntrack # 查看最活跃的连接 conntrack -L -p tcp --state ESTABLISHED | awk '{print $5}' | sort | uniq -c | sort -rn | head ``` **应急措施：** ```bash # 临时充值最大连接数 echo 2000000 > /proc/sys/net/netfilter/nf_conntrack_max # 暴力清空（影响现有连接！） conntrack -F # 仅清理特定协议 conntrack -D -p udp ``` ### 7.3 NAT 与 conntrack loop 排查 当 NAT 规则链与 conntrack 互相依赖时可能产生路由环路： ```bash # 检查是否有重复 NAT iptables -t nat -L -n -v | grep SNAT | sort # 查看 conntrack 表项中的 NAT 标记 conntrack -L -j # 显示经过 NAT 的连接 ``` ## 八、总结 Linux Netfilter 从 2.4 时代的 ipchains 演化到现在的 nf_tables/eBPF 生态，二十年来一直在回答一个核心问题：如何在保持协议栈稳定的前提下，灵活控制网络包的流向与内容。 关键决策路径： - 常规服务器防护：iptables/nftables + conntrack 足矣 - 高并发网关：nftables + verdict map + conntrack 调优 - 10Gbps+ 负载均衡/XDP 网关：eBPF/XDP 前置 + 可选 conntrack 后置 - 大型分布式：白名单 ipset + NOTRACK + 有限状态机 掌握 Netfilter 的 Hook 机制与 conntrack 状态机，不仅有助于写出正确高效的防火墙规则，更是理解 Linux 网络全栈的必经之路 —— 从驱动层（XDP）到协议栈（Bridge/TUN/VPN）再到应用层（Socket），Netfilter 连接了整条数据链路。