iptables深度解析：从四表五链到K8s故障排查实战

你有没有遇到过这种情况？Kubernetes集群的NodePort服务突然访问不上了，但Pod之间通信却正常。

排查了半天，最后发现是iptables规则被误删了。

说实话，iptables这个老牌工具虽然强大，但学习曲线确实陡峭。特别是那"四表五链"的概念，第一次接触时真让人头大。

今天咱们就来彻底搞懂iptables，从基础架构到Kubernetes故障排查实战，一篇讲透。

一、iptables核心架构

iptables是Linux内核级的防火墙工具，它通过用户空间的iptables命令来配置内核空间的netfilter框架，实现对数据包的精准控制。

什么是四表五链？

iptables的核心结构就是"四表五链"。

四表指的是四个功能表，每个表负责不同的任务：

• raw表（优先级最高）：控制连接跟踪机制的启用或绕过
• mangle表修改数据包的元数据，比如TTL、TOS标记
• nat表实现网络地址转换（SNAT/DNAT）
• filter表（默认表）：数据包过滤，决定允许还是拒绝

记忆口诀：raw → mangle → nat → filter，缩写是"rmnf"，记成"热米饭"就很 easy 了。

五链是数据包流经的五个关键节点：

• PREROUTING数据包刚进入网卡时的第一个链
• INPUT目标地址是本机的数据包
• FORWARD需要转发的数据包
• OUTPUT从本机发出的数据包
• POSTROUTING数据包即将离开网卡前的最后一个链

数据包的流动路径

不同类型的数据包，经过的链也不一样：

以入站流量为例，完整流程是这样的：

数据包到达 → PREROUTING链（raw表检查是否启用连接跟踪 → mangle表修改元数据 → nat表做DNAT）→ 路由决策 → INPUT链（mangle表再次处理 → filter表决定是否允许）

二、iptables实战命令

基础语法

iptables命令的基本格式：

iptables -t <表名> <操作命令> <链名> [匹配条件] -j <动作>

比如想添加一条规则：

iptables -A INPUT -p tcp --dport 22 -j ACCEPT

这条规则的意思是：在INPUT链末尾添加（-A）一条规则，匹配（-p）tcp协议且目标端口是（--dport）22的数据包，执行动作（-j）是接受（ACCEPT）。

常用操作命令

• -A追加规则（加到链的末尾）
• -I插入规则（可以指定位置）
• -D删除规则
• -L列出规则（加上--line-numbers可以显示行号）
• -F清空链中的所有规则

常用匹配条件

-p tcp/udp/icmp          # 指定协议类型
-s 192.168.1.0/24        # 指定源IP网段
-d 10.0.0.1              # 指定目标IP
--dport 80               # 指定目标端口
-i eth0                  # 指定入站网卡
-m state --state ESTABLISHED  # 匹配已建立的连接

处理动作

• ACCEPT放行数据包
• DROP静默丢弃（不发送任何回应）
• REJECT拒绝并返回错误信息
• LOG记录日志（可以加--log-prefix "FW_LOG: "前缀）
• SNAT/DNAT源/目标地址转换

实战案例

1. 放行SSH访问

iptables -A INPUT -p tcp --dport 22 -j ACCEPT

2. 端口转发（DNAT）

iptables -t nat -A PREROUTING -p tcp --dport 8080 -j DNAT --to-dest 192.168.1.100:80

这条规则的意思是：将访问本机8080端口的流量，转发到192.168.1.100的80端口。

3. 动态IP出口（MASQUERADE）

iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE

这适合IP地址经常变化的场景，比如ADSL拨号。

4. 防御SYN洪水攻击

iptables -A INPUT -p tcp --syn -m limit --limit 1/s -j ACCEPT

这条规则限制SYN包每秒只能有1个，多余的会被丢弃。

三、K8s故障排查实战

在Kubernetes环境中，iptables是网络通信的核心组件，很多网络问题都和它有关。

典型故障案例

现象：NodePort服务访问失败，但Pod间通信正常 根因：节点iptables规则被误删或DOCKER链策略冲突

排查步骤

1. 检查NodePort规则是否存在

iptables -t nat -L KUBE-NODEPORTS -nv --line-numbers

如果KUBE-NODEPORTS链不存在或规则为空，说明kube-proxy没有正常工作。

2. 验证FORWARD链策略

iptables -L FORWARD

FORWARD链的策略必须是ACCEPT，否则转发流量会被阻断。

3. 跟踪数据包路径

tcpdump -i eth0 port 30080

观察数据包是否到达节点，以及节点是否发出回应。

4. 检查conntrack状态

conntrack -L -d

确认连接跟踪记录是否正常。

传统CLI工具的痛点

说实话，用传统的iptables -L命令排查问题，确实挺让人头疼的：

• 信息过载数千条规则线性排列，链间跳转（比如-j KUBE-SVC-XXX）难以追溯
• 语义断裂自定义链（比如cali-FORWARD）缺乏上下文说明
• 变更风险直接修改生产规则容易引发服务中断

四、可视化排查工具

为了解决这些痛点，我们可以开发一个链关系拓扑分析脚本。

核心功能

使用示例

# 1. 执行脚本
./show_iptables.sh

# 2. 选择表（比如filter）和链（比如INPUT）
可用iptables表：
1) raw    2) mangle    3) filter    4) nat
? 3

表 filter 的可用链：
1) INPUT   2) FORWARD   3) OUTPUT   ... 
? 1

# 3. 获取拓扑图
■ iptables链关系拓扑 ■
├── INPUT
│   ├─ ▪ -p tcp --dport 22 -j ACCEPT      # 灰色为规则
│   └─ ▪ -j cali-INPUT                    # 红色跳转目标
    └── cali-INPUT                        # 子链（颜色循环标记）
        ├─ ▪ -m set --match-set src_allowed src -j ACCEPT
        └─ ▪ -j DROP

这样就能清楚地看到链之间的跳转关系，排查起来方便多了。

五、最佳实践总结

规则优化原则

• 高频规则前置比如ESTABLISHED状态的连接应该尽早放行
• 使用ipset用ipset管理IP集合能显著提升性能
• 避免复杂匹配PREROUTING链尽量保持简单

K8s环境注意事项

• 勿手动修改不要手动修改KUBE-前缀的链
• 开启转发确保net.ipv4.ip_forward=1
• 定期备份iptables-save > iptables.bak

故障排查路径

遇到问题时，按这个思路排查：

• 服务不可达 → 是否是NodePort？
• 是 → 检查KUBE-NODEPORTS链
• 否 → 检查Pod网络策略
• 验证conntrack状态
• 使用可视化工具分析链拓扑

写在最后

iptables虽然复杂，但它是Linux网络安全的基石。掌握了四表五链架构与数据流路径，再配合可视化工具进行规则分析，能显著提升Kubernetes等复杂环境的网络排障效率。

当传统命令行无法应对海量规则时，拓扑可视化是破局关键。

说实话，学习iptables确实需要一些时间，但一旦你掌握了它，就会发现它在排查网络问题时是多么好用。

“无他，惟手熟尔”！有需要的用起来！

如果你觉得这篇文章有用，欢迎点赞、转发、收藏、留言、推荐❤！