iptables保存规则后重启失效怎么办？

Question

在使用 iptables 配置 Linux 防火墙规则时，一个常见问题是：手动添加的规则在系统重启后丢失。这是因为 iptables 规则默认保存在内存中，而非持久化存储。尽管通过 `iptables-save` 可将规则导出到文件，但若未配置开机自动加载（如未启用 `iptables-restore` 服务或未将其写入启动脚本），重启后规则仍会失效。尤其在 CentOS/RHEL 系统中，需确保安装并启用了 `iptables-services` 包，并将规则保存至 `/etc/sysconfig/iptables`。Ubuntu 系统则依赖 `netfilter-persistent` 或 `iptables-persistent` 工具实现持久化。忽略此配置将导致安全策略无法生效，带来安全隐患。因此，正确保存并配置自动恢复机制是保障防火墙策略持续有效的关键步骤。

Answer 1

1. 问题初探：iptables 规则为何在重启后丢失？

Linux 系统中的 iptables 是一个用户态工具，用于配置内核中的 netfilter 防火墙规则。这些规则默认加载到内核内存中，并不自动持久化。当管理员通过命令如 iptables -A INPUT -p tcp --dport 22 -j ACCEPT 添加规则时，规则仅存在于运行时内存中。

系统重启后，内核重新初始化 netfilter 框架，原有规则全部清空，导致所有手动配置的防火墙策略失效。这种行为源于设计初衷——灵活性优先于持久性。

例如，在一次安全审计中发现某 CentOS 7 服务器 SSH 端口开放但未启用持久化规则，重启后服务暴露于公网，造成潜在入侵风险。

2. 技术机制解析：iptables 的运行与存储模型

iptables 规则由以下组件协同工作：

• 内核模块：netfilter 实现数据包过滤、NAT 和连接跟踪。
• 用户空间工具：iptables 命令行工具用于交互式配置。
• 持久化接口：iptables-save 和 iptables-restore 用于序列化和反序列化规则。

规则保存流程如下：

# 导出当前规则
iptables-save > /etc/iptables/rules.v4

# 恢复规则
iptables-restore < /etc/iptables/rules.v4

3. 不同发行版的持久化实现方式对比

发行版	推荐工具	配置文件路径	服务名称	安装命令
CentOS/RHEL 7	iptables-services	/etc/sysconfig/iptables	iptables	yum install iptables-services
CentOS/RHEL 8+	firewalld 或 nftables	/etc/firewalld/	firewalld	dnf install firewalld
Ubuntu 18.04+	iptables-persistent	/etc/iptables/rules.v4	netfilter-persistent	apt install iptables-persistent
Debian 10+	netfilter-persistent	/etc/iptables/rules.v6	netfilter-persistent	apt install netfilter-persistent
Alpine Linux	iptables save	/etc/iptables/save	iptables-save	rc-update add iptables
SUSE Linux	SuSEfirewall2	/etc/sysconfig/SuSEfirewall2	SuSEfirewall2_init	zypper install SuSEfirewall2
Fedora	firewalld (默认)	/etc/firewalld/zones/public.xml	firewalld	dnf install firewalld
Gentoo	net-firewall/iptables	/var/lib/iptables/	iptables	emerge iptables
Arch Linux	iptables + systemd service	/etc/iptables/iptables.rules	iptables.service	pacman -S iptables
OpenWrt	uci firewall	/etc/config/firewall	firewall	opkg install iptables

4. 解决方案深度剖析：如何实现跨重启的规则持久化

以 Ubuntu 和 CentOS 为例，展示具体操作步骤：

4.1 Ubuntu 系统配置示例

# 安装持久化工具
sudo apt update
sudo apt install iptables-persistent netfilter-persistent -y

# 保存当前规则（触发交互式对话框）
sudo netfilter-persistent save

# 启用开机自动加载
sudo systemctl enable netfilter-persistent

4.2 CentOS 7 系统配置流程

# 停止 firewalld（如果启用）
systemctl stop firewalld
systemctl disable firewalld

# 安装 iptables-services
yum install iptables-services -y

# 保存当前规则至默认位置
service iptables save
# 等价于：/sbin/iptables-save > /etc/sysconfig/iptables

# 启用服务
systemctl enable iptables

5. 自动化与运维集成：结合 Ansible 实现批量部署

在大规模环境中，手动保存规则不可持续。可通过配置管理工具实现自动化。

- name: Ensure iptables-persistent is installed
  apt:
    name: iptables-persistent
    state: present
  when: ansible_os_family == "Debian"

- name: Save current iptables rules
  command: netfilter-persistent save
  args:
    warn: false

6. 故障排查流程图

graph TD
            A[系统重启后规则丢失] --> B{是否安装持久化服务?}
            B -- 否 --> C[安装 iptables-services 或 iptables-persistent]
            B -- 是 --> D{服务是否启用?}
            D -- 否 --> E[执行 systemctl enable]
            D -- 是 --> F{规则文件是否存在且非空?}
            F -- 否 --> G[手动执行 save 命令]
            F -- 是 --> H[检查服务启动日志]
            H --> I[journalctl -u iptables 或类似命令]
            I --> J[确认 restore 是否执行成功]

7. 高级场景：混合使用 nftables 与传统 iptables

现代 Linux 发行版逐步迁移到 nftables，其原生支持持久化配置。但仍可通过兼容层运行 iptables 规则。

需注意：

• 避免同时启用 firewalld、nftables 和 iptables 服务，防止冲突。
• 使用 update-alternatives 管理命令链接。
• 监控 /proc/net/ip_tables_names 判断当前激活的表。

# 查看当前加载的 iptables 表
cat /proc/net/ip_tables_names