在虚拟机环境中，通过iptables配置规则可以精确控制虚拟机之间的服务访问，实现安全隔离与端口转发，这是保障虚拟化网络稳定性的关键操作。
理解虚拟机网络模式与iptables的作用
虚拟化网络模式如何影响服务访问
虚拟化平台通常提供三种网络模式,它们决定了虚拟机之间以及虚拟机与外部网络的通信方式，直接影响iptables规则的配置策略。
- 桥接模式：虚拟机直接连接到物理网络，拥有独立IP，与宿主机在同一网段，在这种模式下，虚拟机之间的访问不一定经过宿主机转发，但宿主机上的iptables仍可通过FORWARD链控制桥接流量，如果使用Linux桥接，需要确保桥接网络过滤规则正确。
- NAT模式：虚拟机使用私有IP地址，通过宿主机NAT访问外网，虚拟机之间的通信通常经过宿主机转发，此时iptables的FORWARD和NAT表规则非常关键，默认情况下，KVM的virbr0网络使用NAT模式，宿主机自动配置MASQUERADE，但虚拟机之间默认允许访问，可通过iptables规则限制。
- 仅主机模式：虚拟机仅与宿主机通信，彼此隔离，这种模式适合测试环境，iptables规则可以精细控制宿主机与虚拟机之间、虚拟机与虚拟机之间的流量。
iptables在虚拟机服务访问中的角色
在虚拟化环境中,iptables承担以下核心职责：
- 访问控制：在宿主机上通过FORWARD链过滤虚拟机之间的流量，允许或拒绝特定服务访问。
- 端口转发：通过PREROUTING和POSTROUTING链，将宿主机端口映射到虚拟机内部服务，实现外部网络访问虚拟机内应用。
- 安全隔离：配合默认DROP策略，仅放行必要流量，防止虚拟机之间或来自外部的攻击。
- 连接追踪：使用状态匹配简化规则，允许已建立的连接通过，提高性能。
行业共识认为,iptables是Linux虚拟化网络中最灵活的工具，但需要理解其工作原理才能正确配置。
iptables 虚拟机 服务访问 规则 设置详解
基础规则语法与操作步骤
掌握iptables基本命令是配置虚拟机服务访问的前提,以下列出最常用的操作：
- 列出所有规则：
iptables -L -n -v，显示每个链的规则、包计数器。 - 添加规则到指定链：
iptables -A FORWARD -s 源IP -d 目的IP -p tcp --dport 端口 -j ACCEPT。 - 插入规则到指定位置：
iptables -I FORWARD 2 -s ... -j ACCEPT，插入到第2行。 - 删除规则：
iptables -D FORWARD 行号，或iptables -D FORWARD -s ... -j ACCEPT。 - 保存规则：
iptables-save > /etc/iptables/rules.v4，或使用iptables-persistent。
允许特定虚拟机访问另一台虚拟机的Web服务
假设有两个虚拟机,VM-A（IP: 192.168.122.2）和VM-B（IP: 192.168.122.3），需要允许VM-A访问VM-B的HTTP服务（80端口），在宿主机上执行：
iptables -A FORWARD -s 192.168.122.2 -d 192.168.122.3 -p tcp --dport 80 -j ACCEPT
如果FORWARD链默认策略是DROP,还需要添加一条规则允许已建立的连接返回数据：
iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT
这样,VM-A就可以正常访问VM-B的Web服务，对于其他虚拟机，可以通过类似规则控制。
端口转发到虚拟机服务
端口转发是虚拟化中常用的技术,将宿主机的端口映射到虚拟机内部服务，将宿主机的8080端口转发到VM-B的80端口，使外部用户可以通过宿主机IP:8080访问VM-B的Web页面。
步骤：
- 开启IP转发：
sysctl -w net.ipv4.ip_forward=1，并写入/etc/sysctl.conf。 - 添加DNAT规则：
iptables -t nat -A PREROUTING -p tcp --dport 8080 -j DNAT --to-destination 192.168.122.3:80 - 添加SNAT规则,确保返回包正确路由：
iptables -t nat -A POSTROUTING -d 192.168.122.3 -p tcp --dport 80 -j SNAT --to-source 宿主机IP - 如果使用NAT网络,可简化使用MASQUERADE：
iptables -t nat -A POSTROUTING -o virbr0 -j MASQUERADE
注意：如果你的宿主机有多个网卡，DNAT规则中最好指定-d 宿主机外部IP，避免影响其他流量。
禁止虚拟机访问特定服务
如果需要限制VM-A访问VM-B的MySQL端口（3306），但允许其他访问，可以添加拒绝规则，并确保它在允许规则之前：
iptables -I FORWARD 1 -s 192.168.122.2 -d 192.168.122.3 -p tcp --dport 3306 -j DROP
规则的顺序很重要,拒绝规则必须放在允许规则前面，否则匹配到允许规则后就不会执行拒绝。
常见问题：虚拟机服务访问受限的排查思路
当虚拟机之间服务访问不通时,按以下步骤排查：
- 检查宿主机iptables规则：
iptables -L -n -v，确认FORWARD链是否有允许规则，如果默认DROP，需要添加放行规则。 - 确认虚拟网络模式：对于NAT模式，确保MASQUERADE规则存在；对于桥接模式，检查桥接设备上的规则。
- 检查虚拟机内部防火墙：使用
systemctl status firewalld或ufw status，临时关闭测试。 - 使用tcpdump抓包：
tcpdump -i virbr0 host 192.168.122.2，观察数据包是否到达。 - 查看连接跟踪：
conntrack -L，确认连接状态是否正常。
虚拟机 iptables 端口转发 配置 步骤 教学
准备工作：开启IP转发与默认策略
端口转发依赖IP转发功能,必须在系统层面开启，编辑/etc/sysctl.conf，设置net.ipv4.ip_forward=1，然后执行sysctl -p生效，验证：cat /proc/sys/net/ipv4/ip_forward，输出1表示开启。
对于FORWARD链默认策略,建议设置为DROP，然后仅放行必要流量，提高安全性，设置默认策略：iptables -P FORWARD DROP，但注意，如果默认DROP，你需要在添加DNAT规则前放行转发流量，否则端口转发会失败，添加规则允许所有转发（谨慎）：
iptables -A FORWARD -j ACCEPT，或更精确地放行特定流量。
DNAT规则配置实例
假设宿主机外网IP为203.0.113.10，需要将SSH端口映射到VM-B的22端口，方便远程管理虚拟机，配置如下：
iptables -t nat -A PREROUTING -d 203.0.113.10 -p tcp --dport 2222 -j DNAT --to-destination 192.168.122.3:22 iptables -t nat -A POSTROUTING -d 192.168.122.3 -p tcp --dport 22 -j SNAT --to-source 203.0.113.10
如果使用KVM的NAT网络,通常还需要MASQUERADE规则，但SNAT规则已经足够，注意，SNAT规则必须使用外部IP，否则返回包可能无法到达客户端。
多端口转发优化
如果需要转发多个端口,可以编写脚本批量处理，或使用multiport模块匹配多个端口：
iptables -t nat -A PREROUTING -d 203.0.113.10 -p tcp -m multiport --dports 80,443 -j DNAT --to-destination 192.168.122.3
对应的SNAT规则也要匹配相应端口。
规则持久化与保存
规则配置后,重启系统会丢失，需要持久化保存，常见方法：
- 使用
iptables-save导出规则文件：iptables-save > /etc/iptables/rules.v4，然后在网络启动脚本中恢复：iptables-restore < /etc/iptables/rules.v4。 - 在Debian/Ubuntu上安装
iptables-persistent：apt install iptables-persistent，规则保存至/etc/iptables/rules.v4，系统启动时自动加载。 - 在CentOS 6上，使用
service iptables save保存，CentOS 7默认使用firewalld，但可以安装iptables-services，启用systemctl enable iptables。
虚拟机 iptables 配置 教学：安全策略与最佳实践
规则顺序的重要性
iptables规则按顺序匹配,一旦匹配成功，将执行对应动作，不再继续匹配后续规则，规则的顺序至关重要，建议遵循以下原则：
- 将放行规则放在拒绝规则前面。
- 将经常匹配的规则放在前面,减少遍历开销。
- 使用
-I插入规则到指定位置，如iptables -I FORWARD 1 -s ... -j ACCEPT。
安全策略建议
- 默认拒绝：设置FORWARD链默认策略为DROP，然后添加白名单规则。
iptables -P FORWARD DROP iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT iptables -A FORWARD -s 192.168.122.0/24 -d 192.168.122.0/24 -j ACCEPT # 允许同网段通信
- 最小权限：只放行必要的协议和端口，避免开放所有服务。
- 日志记录：在拒绝规则前添加日志，便于审计。
iptables -A FORWARD -j LOG --log-prefix "FORWARD_DENY: " --log-level 4
- 使用连接追踪：允许已建立的连接和相关的连接（如FTP数据通道），减少规则复杂度。
结合虚拟化平台的管理
- KVM/libvirt：libvirt的nwfilter提供上层抽象，底层仍使用iptables和ebtables，你可以通过
virsh nwfilter-define
- VMware：ESXi主机有自身的防火墙，但虚拟机内部的操作系统仍可使用iptables控制自身流量，在VMware环境下，通过虚拟交换机配置安全策略时，也可以结合iptables进行细粒度控制。
- 云平台：在简米云、酷番云等环境，安全组提供第一层防护，虚拟机内部的iptables可作为第二层防护，两者结合可构建纵深防御体系，多数情况下，云平台的安全组规则已经足够，但内部iptables可用于更精细的出站控制。
规则测试与验证
配置完成后,建议使用iptables -L -n -v查看规则计数，确认数据包是否匹配，可使用nmap从目标虚拟机扫描服务端口，验证访问控制是否生效。
nmap -p 80 192.168.122.3
如果规则正确,扫描结果应显示端口开放或过滤，符合预期。
常见问题：iptables 虚拟机 服务访问 故障排查
为什么虚拟机之间服务访问不通？
首先确认宿主机iptables FORWARD链是否允许流量，如果默认DROP，需要添加规则，检查虚拟网络模式，NAT模式下虚拟机之间通信依赖转发，而桥接模式则直接通信，但仍可能被ebtables或iptables限制，虚拟机内部防火墙（如iptables、firewalld）也可能阻止访问，建议在虚拟机内临时禁用防火墙测试，排除问题，如果使用KVM，检查virsh net-dumpxml default查看NAT网络配置，确保没有额外的过滤规则。
iptables规则怎么持久化保存？
使用iptables-save将当前规则导出到文件，并确保系统启动时自动加载，在Debian/Ubuntu中，安装iptables-persistent，它会自动管理规则保存和加载，在CentOS 6中，service iptables save直接写入/etc/sysconfig/iptables，CentOS 7用户如需使用iptables，可安装iptables-services，然后启用iptables服务，注意，同时运行firewalld和iptables可能导致冲突，建议只选其一，对于容器化环境，规则持久化需要额外考虑，但虚拟机场景下上述方法均适用。
端口转发后服务仍无法访问，怎么办？
依次检查：IP转发是否开启（sysctl net.ipv4.ip_forward），DNAT和SNAT规则是否正确，宿主机防火墙FORWARD链是否允许转发流量，虚拟机内服务是否监听在正确的IP和端口，以及虚拟机内部防火墙是否放行，如果使用NAT网络，确保MASQUERADE规则存在，使用tcpdump在宿主机和虚拟机内抓包，查看数据包是否到达，有助于定位问题，在一个典型的案例中，忘记添加SNAT规则导致返回包无法到达客户端，是端口转发失败最常见的原因，添加SNAT规则后，问题即可解决。
通过合理配置iptables规则，你可以在虚拟化环境中精确控制服务访问，既保障安全又实现灵活的网络服务部署。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/%e8%99%9a%e6%8b%9f%e6%9c%ba%e6%9c%8d%e5%8a%a1%e5%a6%82%e4%bd%95%e8%ae%bf%e9%97%ae%e8%99%9a%e6%8b%9f%e6%9c%ba%e6%9c%8d%e5%8a%a1%ef%bc%8ciptables%e8%a7%84%e5%88%99%e6%80%8e%e4%b9%88%e8%ae%be%e7%bd%ae/
