第 08 章：扩展匹配模块

本章目标：掌握 iptables 的主要扩展匹配模块，能够使用 multiport、connlimit、time、hashlimit、string 等模块实现精细的数据包匹配。

8.1 扩展匹配概述

扩展匹配模块通过 -m 参数加载，提供了超越基本五元组（源/目的 IP、源/目的端口、协议）的匹配能力。

8.1.1 隐式匹配 vs 显式匹配

类型	语法	说明
隐式匹配	`-p tcp --dport 80`	基于协议内置，不需要 `-m`
显式匹配	`-m multiport --dports 80,443`	需要显式加载模块

8.1.2 常用扩展模块一览

模块	加载参数	功能
`multiport`	`-m multiport`	匹配多个端口
`conntrack`	`-m conntrack`	连接状态匹配
`connlimit`	`-m connlimit`	限制单 IP 并发连接数
`limit`	`-m limit`	固定速率限制
`hashlimit`	`-m hashlimit`	基于哈希的速率限制
`time`	`-m time`	时间段匹配
`string`	`-m string`	字符串内容匹配
`iprange`	`-m iprange`	IP 地址范围匹配
`owner`	`-m owner`	进程/用户/组匹配
`recent`	`-m recent`	最近访问记录匹配
`statistic`	`-m statistic`	统计匹配（概率/每N包）
`mac`	`-m mac`	MAC 地址匹配
`length`	`-m length`	数据包长度匹配
`ttl`	`-m ttl`	TTL 值匹配
`tos`	`-m tos`	TOS 值匹配
`mark`	`-m mark`	MARK 值匹配
`comment`	`-m comment`	添加注释

8.2 multiport 模块

8.2.1 用途

multiport 模块允许在一条规则中匹配多个不连续的端口，减少规则数量。

8.2.2 语法

# 匹配多个目的端口
iptables -A INPUT -p tcp -m multiport --dports 22,80,443,3306 -j ACCEPT

# 匹配多个源端口
iptables -A INPUT -p tcp -m multiport --sports 80,443 -j ACCEPT

# 同时匹配源和目的端口
iptables -A INPUT -p tcp -m multiport --sports 1024:65535 --dports 80,443 -j ACCEPT

8.2.3 限制

最多匹配 15 个端口
只能用于 -p tcp 或 -p udp，不能用于 -p all
端口范围和单个端口可以混用：--dports 22,80,443,8000:9000

8.2.4 业务场景

# Web 服务器常用端口
iptables -A INPUT -p tcp -m multiport --dports 80,443,8080,8443 \
  -m comment --comment "Web service ports" -j ACCEPT

# 数据库端口（仅限应用服务器访问）
iptables -A INPUT -p tcp -m multiport --dports 3306,5432,6379,27017 \
  -s 10.0.1.0/24 -m comment --comment "DB ports from app servers" -j ACCEPT

# 监控系统端口
iptables -A INPUT -p tcp -m multiport --dports 9090,3000,9100,9093 \
  -s 10.0.2.0/24 -m comment --comment "Monitoring ports" -j ACCEPT

8.3 connlimit 模块

8.3.1 用途

connlimit 模块限制单个源 IP 的并发连接数，用于防止单个客户端消耗过多资源。

8.3.2 语法

# 限制每个 IP 最多 20 个 SSH 连接
iptables -A INPUT -p tcp --dport 22 -m connlimit --connlimit-above 20 \
  -j REJECT --reject-with tcp-reset

# 限制每个 IP 最多 50 个 HTTP 连接
iptables -A INPUT -p tcp --dport 80 -m connlimit --connlimit-above 50 \
  -j DROP

# 使用掩码限制（对子网整体限制）
iptables -A INPUT -p tcp --dport 80 \
  -m connlimit --connlimit-above 100 --connlimit-mask 24 \
  -j DROP

# 允许范围内，超过则拒绝
iptables -A INPUT -p tcp --dport 22 -m connlimit --connlimit-above 10 -j DROP
iptables -A INPUT -p tcp --dport 22 -j ACCEPT

8.3.3 参数说明

参数	说明
`--connlimit-above N`	当并发连接数超过 N 时匹配
`--connlimit-mask N`	按子网掩码聚合（默认 32，即单 IP）
`--connlimit-upto N`	当并发连接数不超过 N 时匹配（等价于 `--connlimit-above N` 取反）
`--connlimit-saddr`	限制源地址（默认）
`--connlimit-daddr`	限制目的地址

8.3.4 业务场景

#!/bin/bash
# ═══════════════════════════════════════════════════
# 防止单 IP 资源耗尽
# ═══════════════════════════════════════════════════

# SSH 限制：每个 IP 最多 3 个连接
iptables -A INPUT -p tcp --dport 22 \
  -m connlimit --connlimit-above 3 -j REJECT --reject-with tcp-reset

# HTTP 限制：每个 IP 最多 100 个连接
iptables -A INPUT -p tcp --dport 80 \
  -m connlimit --connlimit-above 100 -j DROP

# HTTPS 限制：每个 IP 最多 100 个连接
iptables -A INPUT -p tcp --dport 443 \
  -m connlimit --connlimit-above 100 -j DROP

# MySQL 限制：每个应用服务器最多 50 个连接
iptables -A INPUT -p tcp --dport 3306 -s 10.0.1.0/24 \
  -m connlimit --connlimit-above 50 -j DROP

# DNS 限制：每个 /24 子网最多 100 个并发查询
iptables -A INPUT -p udp --dport 53 \
  -m connlimit --connlimit-above 100 --connlimit-mask 24 -j DROP

8.4 limit 模块

8.4.1 用途

limit 模块以固定平均速率匹配数据包，用于速率限制。

8.4.2 语法

# 限制 ping 速率为每秒 1 个
iptables -A INPUT -p icmp --icmp-type echo-request \
  -m limit --limit 1/s --limit-burst 5 -j ACCEPT
iptables -A INPUT -p icmp --icmp-type echo-request -j DROP

# 限制新建连接速率为每秒 50 个
iptables -A INPUT -p tcp --syn \
  -m limit --limit 50/s --limit-burst 100 -j ACCEPT
iptables -A INPUT -p tcp --syn -j DROP

8.4.3 参数说明

参数	说明	默认值
`--limit`	平均速率	3/hour
`--limit-burst`	突发上限（令牌桶）	5

令牌桶算法示意：

        ┌─────── 桶容量 = burst
        │
        ▼
    ┌───────┐
    │  ● ●  │  ← 令牌（每个代表一个允许的数据包）
    │  ●    │
    │  ●    │
    └───────┘
        ↑
        │ 每 1/limit 秒添加一个令牌
        │
    规则匹配时消耗一个令牌
    桶空时拒绝

8.4.4 业务场景

# 限速 ICMP（防止被用于 DDoS 反射）
iptables -A INPUT -p icmp --icmp-type echo-request \
  -m limit --limit 5/s --limit-burst 10 -j ACCEPT
iptables -A INPUT -p icmp --icmp-type echo-request -j DROP

# 限制 SSH 暴力破解（每分钟最多 6 次新连接）
iptables -A INPUT -p tcp --dport 22 --syn \
  -m limit --limit 6/minute --limit-burst 3 -j ACCEPT
iptables -A INPUT -p tcp --dport 22 --syn -j DROP

# 限制日志输出速率（防止日志泛洪）
iptables -A INPUT -j LOG --log-prefix "IPT-DROP: " \
  -m limit --limit 10/minute --limit-burst 20

8.5 hashlimit 模块

8.5.1 用途

hashlimit 是 limit 的增强版，它为每个源 IP（或自定义键）独立维护一个速率桶，实现 per-IP 速率限制。

8.5.2 语法

# 每个源 IP 最多每秒 10 个新 HTTP 连接
iptables -A INPUT -p tcp --dport 80 --syn \
  -m hashlimit --hashlimit-above 10/s \
  --hashlimit-burst 20 \
  --hashlimit-mode srcip \
  --hashlimit-name http_rate \
  -j DROP

8.5.3 参数说明

参数	说明
`--hashlimit-above`	速率阈值（超过则匹配）
`--hashlimit-upto`	速率阈值（不超过则匹配，与 above 取反）
`--hashlimit-burst`	突发上限
`--hashlimit-mode`	哈希键：`srcip`、`dstip`、`srcport`、`dstport` 及其组合
`--hashlimit-name`	规则名称（全局唯一）
`--hashlimit-htable-expire`	条目过期时间（毫秒）
`--hashlimit-htable-size`	哈希表大小
`--hashlimit-htable-max`	最大条目数

8.5.4 业务场景

#!/bin/bash
# ═══════════════════════════════════════════════════
# 基于 hashlimit 的精细化限速
# ═══════════════════════════════════════════════════

# ─── HTTP 连接限速 ───
# 每个 IP 每秒最多 20 个新连接，突发不超过 50
iptables -A INPUT -p tcp --dport 80 --syn \
  -m hashlimit \
  --hashlimit-above 20/sec \
  --hashlimit-burst 50 \
  --hashlimit-mode srcip \
  --hashlimit-name http_conn \
  --hashlimit-htable-expire 30000 \
  -j DROP

# ─── SSH 连接限速 ───
# 每个 IP 每分钟最多 4 次新连接
iptables -A INPUT -p tcp --dport 22 --syn \
  -m hashlimit \
  --hashlimit-above 4/minute \
  --hashlimit-burst 4 \
  --hashlimit-mode srcip \
  --hashlimit-name ssh_conn \
  --hashlimit-htable-expire 60000 \
  -j DROP

# ─── DNS 查询限速 ───
# 每个源 IP 每秒最多 10 个查询
iptables -A INPUT -p udp --dport 53 \
  -m hashlimit \
  --hashlimit-above 10/sec \
  --hashlimit-burst 20 \
  --hashlimit-mode srcip \
  --hashlimit-name dns_query \
  -j DROP

# ─── 登录接口限速（基于目的端口 + 源 IP）───
iptables -A INPUT -p tcp --dport 443 --syn \
  -m hashlimit \
  --hashlimit-above 5/sec \
  --hashlimit-burst 10 \
  --hashlimit-mode srcip,dstport \
  --hashlimit-name login_rate \
  -j DROP

8.5.5 limit vs hashlimit 对比

特性	limit	hashlimit
速率桶	全局共享	每个键独立
Per-IP 限制	不支持	支持
哈希键	无	srcip/dstip/srcport/dstport
内存消耗	低	较高（维护哈希表）
适用场景	全局限速	Per-IP 限速

8.6 time 模块

8.6.1 用途

time 模块根据时间段匹配数据包，用于实现时间策略。

8.6.2 语法

# 工作时间（周一至周五 9:00-18:00）允许访问
iptables -A INPUT -p tcp --dport 80 \
  -m time --timestart 09:00 --timestop 18:00 \
  --weekdays Mon,Tue,Wed,Thu,Fri \
  -j ACCEPT

# 非工作时间拒绝
iptables -A INPUT -p tcp --dport 80 -j DROP

8.6.3 参数说明

参数	说明	格式
`--timestart`	开始时间	HH:MM
`--timestop`	结束时间	HH:MM
`--weekdays`	星期几	Mon,Tue,Wed,Thu,Fri,Sat,Sun
`--monthdays`	几号	1-31
`--datestart`	开始日期	YYYY[-MM[-DD[Thh[:mm[:ss]]]]]
`--datestop`	结束日期	YYYY[-MM[-DD[Thh[:mm[:ss]]]]]
`--kerneltz`	使用内核时区	默认使用 UTC

8.6.4 业务场景

#!/bin/bash
# ═══════════════════════════════════════════════════
# 基于时间的访问控制
# ═══════════════════════════════════════════════════

# 工作日 9:00-18:00 允许外部访问管理后台
iptables -A INPUT -p tcp --dport 8080 -s 10.0.0.0/8 \
  -m time --timestart 09:00 --timestop 18:00 \
  --weekdays Mon,Tue,Wed,Thu,Fri \
  --kerneltz \
  -m comment --comment "Admin panel: work hours only" \
  -j ACCEPT

# 夜间批量任务窗口（23:00-05:00）允许备份流量
iptables -A INPUT -p tcp --dport 873 -s 10.0.2.0/24 \
  -m time --timestart 23:00 --timestop 05:00 \
  -m comment --comment "Backup window: 23:00-05:00" \
  -j ACCEPT

# 维护窗口（每月第一个周日 02:00-06:00）
iptables -A INPUT -p tcp --dport 22 -s 0.0.0.0/0 \
  -m time --datestart 2026-01-04T02:00 --datestop 2026-01-04T06:00 \
  -m comment --comment "Maintenance window" \
  -j ACCEPT

注意：time 模块使用 UTC 时间，除非指定 --kerneltz。在中国时区（UTC+8）下，请确保时间参数正确。

8.7 string 模块

8.7.1 用途

string 模块匹配数据包载荷中的字符串，用于简单的应用层过滤。

8.7.2 语法

# 匹配包含 "malware" 的数据包
iptables -A FORWARD -m string --string "malware" --algo bm -j DROP

# 匹配包含特定域名的 HTTP 请求
iptables -A FORWARD -p tcp --dport 80 \
  -m string --string "example.com" --algo bm -j DROP

# 匹配包含特定 User-Agent 的请求
iptables -A INPUT -p tcp --dport 80 \
  -m string --string "sqlmap" --algo kmp -j DROP

8.7.3 参数说明

参数	说明
`--string`	要匹配的字符串
`--hex-string`	十六进制格式的字符串
`--algo`	匹配算法：`bm`（Boyer-Moore）或 `kmp`（Knuth-Morris-Pratt）
`--from`	开始偏移量
`--to`	结束偏移量

8.7.4 算法选择

算法	特点	适用场景
`bm`	短模式更快	一般场景推荐
`kmp`	长模式更稳定	长字符串匹配

8.7.5 业务场景

#!/bin/bash
# ═══════════════════════════════════════════════════
# 应用层内容过滤
# ═══════════════════════════════════════════════════

# 阻止常见扫描工具的 User-Agent
iptables -A INPUT -p tcp --dport 80 \
  -m string --string "nikto" --algo bm -j DROP
iptables -A INPUT -p tcp --dport 80 \
  -m string --string "sqlmap" --algo bm -j DROP
iptables -A INPUT -p tcp --dport 80 \
  -m string --string "Nmap" --algo bm -j DROP
iptables -A INPUT -p tcp --dport 80 \
  -m string --string "masscan" --algo bm -j DROP

# 阻止特定 URL 路径的访问
iptables -A INPUT -p tcp --dport 80 \
  -m string --string "/etc/passwd" --algo bm -j DROP
iptables -A INPUT -p tcp --dport 80 \
  -m string --string "phpMyAdmin" --algo bm -j DROP

# 记录可疑 SQL 注入尝试
iptables -A INPUT -p tcp -m multiport --dports 80,443 \
  -m string --string "UNION SELECT" --algo bm \
  -j LOG --log-prefix "SQL-INJECT: "
iptables -A INPUT -p tcp -m multiport --dports 80,443 \
  -m string --string "UNION SELECT" --algo bm -j DROP

注意：string 模块对每个数据包的载荷进行检查，不是对整个 TCP 流进行检查。如果字符串跨越了两个数据包，将无法匹配。对于 HTTPS 流量（加密），string 模块无法检查内容。

8.8 iprange 模块

8.8.1 用途

iprange 模块匹配一个连续的 IP 地址范围。

# 匹配 IP 范围
iptables -A INPUT -m iprange --src-range 192.168.1.100-192.168.1.200 -j ACCEPT

# 匹配目的 IP 范围
iptables -A OUTPUT -m iprange --dst-range 10.0.0.1-10.0.0.50 -j ACCEPT

# 排除特定范围
iptables -A INPUT -m iprange ! --src-range 10.0.0.1-10.0.0.255 -j DROP

8.9 owner 模块

8.9.1 用途

owner 模块根据数据包关联的进程属性（用户、组、PID）进行匹配。只能用于 OUTPUT 链。

# 按用户 ID 匹配
iptables -A OUTPUT -m owner --uid-owner 1000 -j ACCEPT
iptables -A OUTPUT -m owner --uid-owner www-data -j ACCEPT

# 按组 ID 匹配
iptables -A OUTPUT -m owner --gid-owner 1001 -j DROP

# 按进程 PID 匹配
iptables -A OUTPUT -m owner --pid-owner 1234 -j ACCEPT

# 排除特定用户
iptables -A OUTPUT -m owner ! --uid-owner root -j DROP

8.9.2 业务场景

# 只允许特定用户的出站网络访问
# 场景：限制服务器上只有 nginx 和 root 用户可以发起网络连接
iptables -A OUTPUT -m owner --uid-owner 0 -j ACCEPT       # root
iptables -A OUTPUT -m owner --uid-owner www-data -j ACCEPT # nginx
iptables -A OUTPUT -m owner --uid-owner nobody -j ACCEPT   # nobody
iptables -A OUTPUT -j DROP                                  # 其他用户

8.10 recent 模块

8.10.1 用途

recent 模块维护一个最近匹配过的 IP 地址列表，可用于实现动态的速率限制或临时封禁。

8.10.2 语法

# 将访问过的 IP 加入列表
iptables -A INPUT -p tcp --dport 22 --syn \
  -m recent --set --name SSH --rsource

# 如果该 IP 在 60 秒内已出现 5 次以上，拒绝
iptables -A INPUT -p tcp --dport 22 --syn \
  -m recent --update --seconds 60 --hitcount 5 --name SSH --rsource \
  -j DROP

# 允许正常连接
iptables -A INPUT -p tcp --dport 22 -j ACCEPT

8.10.3 参数说明

参数	说明
`--set`	将当前 IP 添加到列表
`--rset`	将当前 IP 添加到列表（与 –set 类似）
`--update`	如果 IP 在列表中，更新时间戳
`--remove`	如果 IP 在列表中，移除它
`--seconds N`	时间窗口（秒）
`--hitcount N`	命中次数阈值
`--name`	列表名称
`--rsource`	匹配源地址
`--rdest`	匹配目的地址

8.10.4 业务场景

#!/bin/bash
# ═══════════════════════════════════════════════════
# SSH 暴力破解防护
# ═══════════════════════════════════════════════════

# 清空规则
iptables -F INPUT

# 已建立连接
iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

# 回环接口
iptables -A INPUT -i lo -j ACCEPT

# SSH 防暴力破解
# 步骤 1：记录 SSH 连接尝试
iptables -A INPUT -p tcp --dport 22 --syn \
  -m recent --set --name SSHBRUTE --rsource

# 步骤 2：如果 60 秒内超过 4 次尝试，丢弃
iptables -A INPUT -p tcp --dport 22 --syn \
  -m recent --update --seconds 60 --hitcount 4 --name SSHBRUTE --rsource \
  -m limit --limit 1/min --limit-burst 1 \
  -j LOG --log-prefix "SSH-BRUTE: "
iptables -A INPUT -p tcp --dport 22 --syn \
  -m recent --update --seconds 60 --hitcount 4 --name SSHBRUTE --rsource \
  -j DROP

# 步骤 3：允许正常的 SSH 连接
iptables -A INPUT -p tcp --dport 22 -j ACCEPT

# 默认策略
iptables -P INPUT DROP

8.11 statistic 模块

8.11.1 用途

statistic 模块按概率或每 N 个包匹配数据包，用于负载均衡或采样。

# 概率匹配：50% 的流量
iptables -A FORWARD -m statistic --mode random --probability 0.5 \
  -j MARK --set-mark 1

# 每 N 个包匹配：每 10 个包匹配第 1 个
iptables -A FORWARD -m statistic --mode nth --every 10 --packet 0 \
  -j MARK --set-mark 2

8.11.2 业务场景：简单负载均衡

#!/bin/bash
# 将 HTTP 流量 50/50 分配到两台后端服务器
# DNAT + statistic 实现简单负载均衡

# 50% 流量 → Web Server 1
iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 80 \
  -m statistic --mode random --probability 0.50 \
  -j DNAT --to-destination 10.0.0.10:80

# 剩余 50% 流量 → Web Server 2
iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 80 \
  -j DNAT --to-destination 10.0.0.11:80

8.12 mac 模块

8.12.1 用途

mac 模块匹配源 MAC 地址，只能用于 PREROUTING 和 INPUT 链。

# 允许特定 MAC 地址访问
iptables -A INPUT -m mac --mac-source 00:11:22:33:44:55 -j ACCEPT

# 阻止特定 MAC 地址
iptables -A INPUT -m mac --mac-source AA:BB:CC:DD:EE:FF -j DROP

注意：MAC 地址只在同一广播域内有效。跨路由器（三层设备）后，源 MAC 地址会被替换为路由器的 MAC。

8.13 length 模块

8.13.1 用途

length 模块匹配数据包的总长度。

# 匹配大包（可能用于分片攻击防护）
iptables -A INPUT -m length --length 1500:65535 -j LOG --log-prefix "LARGE-PKT: "

# 匹配异常小包
iptables -A INPUT -p tcp --syn -m length --length :40 \
  -j LOG --log-prefix "TINY-SYN: "

8.14 模块组合使用

8.14.1 组合示例

# 工作时间限制 + 源 IP + 并发连接限制
iptables -A INPUT -p tcp --dport 8080 \
  -s 10.0.0.0/8 \
  -m time --timestart 09:00 --timestop 18:00 --weekdays Mon,Tue,Wed,Thu,Fri \
  -m connlimit --connlimit-above 10 \
  -m comment --comment "Admin panel: work hours, limited connections" \
  -j ACCEPT

# Per-IP 速率限制 + 字符串匹配
iptables -A INPUT -p tcp --dport 80 \
  -m hashlimit --hashlimit-above 100/sec --hashlimit-mode srcip --hashlimit-name web \
  -m string --string "SELECT" --algo bm \
  -j LOG --log-prefix "SQL-WARN: "

8.15 注意事项

⚠️ 模块组合性能：每多加载一个模块，匹配开销就增加一层。在高吞吐场景下，应精简模块的使用。

⚠️ string 模块局限：不能检查加密流量（HTTPS），不能跨包匹配，对大文件传输的中间数据包可能无法命中关键字。

⚠️ hashlimit 内存消耗：哈希表会占用内核内存。--hashlimit-htable-max 应根据预期的并发 IP 数设置，避免浪费内存。

⚠️ recent 模块的并发：在多核系统中，recent 模块使用自旋锁保护列表，高并发下可能成为性能瓶颈。

8.16 扩展阅读

资源	说明
`man iptables-extensions`	所有扩展模块的完整手册
`iptables -m <module> --help`	查看特定模块的帮助

本章小结

模块	功能	典型用途
`multiport`	多端口匹配	减少规则数量
`connlimit`	并发连接限制	防资源耗尽
`limit`	固定速率限制	全局限速
`hashlimit`	Per-IP 速率限制	精细化限速
`time`	时间段匹配	时间策略
`string`	字符串匹配	内容过滤
`iprange`	IP 范围匹配	连续 IP 匹配
`owner`	进程/用户匹配	出口控制
`recent`	最近访问列表	动态封禁
`statistic`	概率/统计匹配	简单负载均衡

下一章：第 09 章：扩展目标与动作，将学习 LOG、REJECT 等高级目标动作。

强曰为道

第 08 章：扩展匹配模块

第 08 章：扩展匹配模块

8.1 扩展匹配概述

8.1.1 隐式匹配 vs 显式匹配

8.1.2 常用扩展模块一览

8.2 multiport 模块

8.2.1 用途

8.2.2 语法

8.2.3 限制

8.2.4 业务场景

8.3 connlimit 模块

8.3.1 用途

8.3.2 语法

8.3.3 参数说明

8.3.4 业务场景

8.4 limit 模块

8.4.1 用途

8.4.2 语法

8.4.3 参数说明

8.4.4 业务场景

8.5 hashlimit 模块

8.5.1 用途

8.5.2 语法

8.5.3 参数说明

8.5.4 业务场景

8.5.5 limit vs hashlimit 对比

8.6 time 模块

8.6.1 用途

8.6.2 语法

8.6.3 参数说明

8.6.4 业务场景

8.7 string 模块

8.7.1 用途

8.7.2 语法

8.7.3 参数说明

8.7.4 算法选择

8.7.5 业务场景

8.8 iprange 模块

8.8.1 用途

8.9 owner 模块

8.9.1 用途

8.9.2 业务场景

8.10 recent 模块

8.10.1 用途

8.10.2 语法

8.10.3 参数说明

8.10.4 业务场景

8.11 statistic 模块

8.11.1 用途

8.11.2 业务场景：简单负载均衡

8.12 mac 模块

8.12.1 用途

8.13 length 模块

8.13.1 用途

8.14 模块组合使用

8.14.1 组合示例

8.15 注意事项

8.16 扩展阅读

本章小结