检查源端主机iptables配置，核心是确认入站规则是否放行源IP和端口，出站规则是否允许返回流量，以及默认策略是否安全合规。
为什么要系统检查源端主机iptables配置
在Linux服务器运维里，iptables是最常用的包过滤防火墙，不少工程师在配置完源端主机后，发现服务不通、延迟异常，最后定位到是iptables规则问题，行业共识认为，70%以上的网络连通故障都能在iptables规则检查中找到根源，无论是新部署服务、迁移机房，还是做安全审计,系统检查源端主机的iptables配置都是必不可少的步骤。
- 服务部署后,需要确认源端允许目标IP访问特定端口。
- 网络故障排查时,快速定位规则是否误拦截。
- 安全合规要求对规则做定期审计,检查是否有过期或过度开放条目。
在接下来的章节里，我会带你一步步把iptables检查这件事做透，从服务状态到具体规则，从入站到出站，让你在源端主机iptables规则检查时不再凭感觉找问题。
检查前的准备工作：确认服务状态与规则查看
动手检查前，先确保iptables服务本身正常,否则你查到的规则可能不是当前生效的。
查看iptables服务是否运行
- 使用
systemctl status iptables或service iptables status，确认状态为active（running）。 - 如果服务未运行，检查是否被firewalld或其他工具替代，或者内核模块未加载，多数情况下，发行版默认启用iptables服务,但云服务器镜像可能默认关闭。
常用规则查看命令
iptables -L -n -v：列出所有规则，显示包计数和字节数，不解析主机名,避免DNS延迟。iptables -t nat -L -n -v：查看nat表规则，源端主机常常用SNAT或MASQUERADE,nat表错误会导致地址转换失败。-
iptables -S：以命令形式输出规则,便于查看顺序和具体参数。
保存当前规则避免误操作
检查过程中可能需要临时修改规则,建议先备份：
iptables-save > /root/iptables_backup_$(date +%Y%m%d).rules- 恢复时用
iptables-restore < 备份文件。
这个操作虽然简单，但能让你在排查时毫无后顾之忧。iptables检查源端配置命令中，-L和-S是最常用的,但很多人会忽略保存这一步。
核心检查环节：入站规则与出站规则
源端主机配置的核心在于：数据包能否顺利出去，以及回应包能否顺利回来，入站规则控制的是外部访问本机，出站规则控制的是本机访问外部，对于源端，出站规则通常更重要，但入站规则也不可忽视,尤其是回应流量。
入站规则：确认源IP和端口是否被放行
如果你需要源端主机对外提供服务，或者接受管理端的SSH连接,入站规则必须允许相关流量。
- 检查INPUT链,看是否有针对客户端IP或端口的ACCEPT规则。
- 常用命令：
iptables -L INPUT -n -v,逐条查看。 - 重点关注源地址和目的端口，允许192.168.1.0/24访问本机80端口，规则应包含
-s 192.168.1.0/24 -p tcp --dport 80 -j ACCEPT。 - 如果规则写在后面，被前面的DROP规则匹配到，就会导致放行失败。规则顺序是iptables最容易踩坑的地方。
出站规则：确保回应流量可正常发出
源端主机主动访问外部服务时，数据包经过OUTPUT链，如果产出规则过于严格,会导致连接超时。
- 检查OUTPUT链，默认策略通常是ACCEPT，但很多安全加固方案会改成DROP,只放行特定端口。
- 对于TCP连接，除了
--dport，还要注意--sport
- 一个常见场景：源端服务器需要访问数据库的3306端口，但OUTPUT规则只放了80和443,导致连接被拒绝。
- 使用
iptables -L OUTPUT -n -v查看，特别注意-p tcp --dport规则。
默认策略的检查：ACCEPT还是DROP？
INPUT、OUTPUT、FORWARD三个链的默认策略决定了未匹配规则的数据包去向。
- 执行
iptables -L -n，第一行会显示Chain INPUT (policy ACCEPT)或Chain INPUT (policy DROP)。 - 如果默认策略是DROP，必须确保所有需要的流量都被显式规则放行,否则会被静默丢弃。
- 行业共识认为，默认DROP策略更安全，但排查难度也更高,很多运维事故都源于默认DROP后忘记添加放行规则。
进阶检查：nat表与规则顺序
源端主机配置往往涉及NAT地址转换，尤其是SNAT（源地址转换）,nat表的规则错误会让数据包出不去或者回不来。
nat表规则对源端地址转换的影响
- 查看POSTROUTING链：
iptables -t nat -L POSTROUTING -n -v。 - 常见规则：
-o eth0 -j MASQUERADE或-s 192.168.0.0/24 -j SNAT --to 公网IP。 - 如果源端主机在内网，需要访问外网，必须配置SNAT或MASQUERADE，否则数据包源地址是内网IP,无法路由。
- 检查时注意要转换的源地址范围是否包含本机,以及出口网卡是否正确。
规则顺序导致的覆盖问题
iptables按顺序匹配，一旦匹配就停止后续规则,所以顺序至关重要。
- 前面有一条
-j DROP规则匹配所有包，后面再添加-j ACCEPT规则永远无法生效。 - 检查时用
iptables -S按顺序阅读，或者用iptables -L --line-numbers查看行号,确认放行规则在禁止规则之前。 - 常见错误：把
-A INPUT -s 10.0.0.0/8 -j ACCEPT放在-A INPUT -j DROP之后,导致放行无效。
常见问题与排查思路
Q: iptables检查源端主机配置时，规则已添加但通信仍失败？
A: 首先确认规则顺序，放行规则必须放在拒绝规则之前，其次检查nat表，如果做了地址转换，查看POSTROUTING链是否正确，最后用iptables -L -n -v查看规则计数，如果计数没有增长，说明数据包没匹配到这条规则，可以尝试添加日志规则-j LOG来跟踪数据包走向。
Q: 重启服务器后iptables规则丢失，源端配置失效？
A: 大多数发行版不会自动保存规则，你需要手动保存：iptables-save > /etc/sysconfig/iptables（CentOS）或iptables-save > /etc/iptables/rules.v4（Debian/Ubuntu），然后确保iptables服务在开机时启动，使用systemctl enable iptables，这也是源端主机iptables规则检查步骤中容易被忽略的一环。
Q: 如何快速验证源端配置是否生效？
A: 在源端主机上使用telnet或nc测试目标端口，如果连接成功，说明出站规则没问题，然后从目标端反向ping或连接源端，验证入站规则，如果连接失败，用iptables -L -n -v检查对应链的匹配计数，如果计数为0，基本确定规则未命中，需要检查源地址、端口、协议或顺序，如果计数增加但连接失败,可能是其他问题如路由或应用层故障。
系统检查源端iptables配置，不是简单看一眼规则列表就能完事的，你需要确认服务状态、规则顺序、默认策略以及nat表。每次改动后都做一次保存，让规则在重启后继续生效，iptables是门细致活，多花十分钟检查,能省下几小时排障。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/%e5%a6%82%e4%bd%95%e6%a3%80%e6%9f%a5iptable%e6%ba%90%e7%ab%af%e4%b8%bb%e6%9c%ba%e9%85%8d%e7%bd%ae%ef%bc%9f%ef%bc%8c%e6%9c%89%e5%93%aa%e4%ba%9b%e5%91%bd%e4%bb%a4%ef%bc%9f/
