使用 `sudo iptables -t nat -F` 后网络无法访问，如何排查？

Question

使用 `sudo iptables -t nat -F` 命令会清空 NAT 表中的所有规则，可能导致服务器无法进行网络地址转换，从而造成外部网络无法访问服务（如 HTTP、SSH 等）。排查时应首先确认是否因 DNAT 或 MASQUERADE 规则丢失导致流量无法转发。可依次检查：1）是否有正确的 MASQUERADE 规则配置；2）是否启用了 IP 转发（`/proc/sys/net/ipv4/ip_forward`）；3）通过 `iptables -t nat -L -n` 查看当前 NAT 规则状态；4）确认客户端访问路径是否经过正确端口映射。建议在清空规则前备份现有配置，并逐步恢复关键规则以定位问题。

Answer 1

一、背景与命令影响分析

sudo iptables -t nat -F 是一个用于清空 NAT 表（Network Address Translation） 中所有规则的命令。该表主要用于实现地址转换，包括 SNAT（源地址转换）、DNAT（目的地址转换）和 MASQUERADE 等功能。

执行此命令后，所有与 NAT 相关的流量转发规则将被清除，可能导致如下问题：

• 外部网络无法访问服务器上的 HTTP、HTTPS 或 SSH 服务；
• 私有网络主机无法通过网关访问公网；
• Docker 容器等依赖端口映射的服务失效。

二、排查流程详解

1. 检查是否存在 MASQUERADE 规则

2. MASQUERADE 是动态源地址转换的一种形式，通常用于拨号连接或 DHCP 获取 IP 的场景。可使用以下命令查看 POSTROUTING 链是否配置了 MASQUERADE：

   iptables -t nat -L POSTROUTING -n -v

   正常输出应包含类似如下内容：

   Chain POSTROUTING (policy ACCEPT)
       pkts bytes target     prot opt in     out     source               destination
          0     0 MASQUERADE  all  --  *      eth0    192.168.1.0/24       0.0.0.0/0

3. 确认是否启用了 IP 转发

4. Linux 内核默认禁用 IP 转发功能，需手动启用。可通过以下命令查看当前状态：

   cat /proc/sys/net/ipv4/ip_forward

   若返回值为 0，说明未启用，需临时启用：

   echo 1 > /proc/sys/net/ipv4/ip_forward

   如需永久生效，修改 /etc/sysctl.conf 文件并添加：

   net.ipv4.ip_forward=1

   然后应用配置：

   sysctl -p

5. 查看当前 NAT 表规则状态

6. 使用以下命令列出当前 NAT 表中的所有规则：

   iptables -t nat -L -n

   输出示例：

   Chain	Target	Prot	Opt	In	Out	Source	Destination
   PREROUTING	DNAT	tcp	--	*	*	0.0.0.0/0	192.168.1.100
   POSTROUTING	MASQUERADE	all	--	*	eth0	192.168.1.0/24	0.0.0.0/0

7. 确认客户端访问路径是否经过正确端口映射

8. 若使用 DNAT 实现端口映射（如将公网 IP 的 80 映射到内网某台 Web 服务器），请确保 PREROUTING 链中存在对应规则。例如：

   iptables -t nat -A PREROUTING -p tcp --dport 80 -j DNAT --to-destination 192.168.1.50:80

三、建议操作流程与恢复策略

在进行任何清空操作前，务必先备份现有规则：

iptables-save > /root/iptables-backup.nat

如已执行 iptables -t nat -F 并导致网络异常，建议按以下步骤逐步恢复关键规则：

1. 启用 IP 转发；
2. 恢复 MASQUERADE 规则；
3. 添加必要的 DNAT 端口映射规则；
4. 测试外部访问是否恢复正常。

四、常见错误与排查流程图

graph TD A[执行 iptables -t nat -F 后网络不通] --> B{检查 ip_forward 是否启用?} B -- 是 --> C{是否有 MASQUERADE 规则?} C -- 是 --> D{是否有 DNAT 端口映射?} D -- 是 --> E[网络应已恢复] D -- 否 --> F[添加 DNAT 规则] C -- 否 --> G[添加 MASQUERADE 规则] B -- 否 --> H[启用 ip_forward]