第 09 章：扩展目标与动作

本章目标：掌握 iptables 的各种扩展目标（Target），能够使用 LOG、REJECT、TEE、NFQUEUE 等高级动作实现日志记录、流量镜像、用户态处理等功能。

9.1 目标（Target）分类

9.1.1 基本目标 vs 扩展目标

类型	目标	说明
基本目标	ACCEPT	接受数据包（不需要加载模块）
基本目标	DROP	丢弃数据包（不需要加载模块）
基本目标	RETURN	返回调用链
扩展目标	REJECT	拒绝并返回错误（需要 `ipt_REJECT` 模块）
扩展目标	LOG	记录日志（需要 `ipt_LOG` 模块）
扩展目标	MASQUERADE	动态 SNAT
扩本目标	DNAT/SNAT	目的/源地址转换
扩展目标	REDIRECT	端口重定向
扩展目标	MARK	设置标记
扩展目标	TEE	流量镜像
扩展目标	NFQUEUE	传递到用户态
扩展目标	NOTRACK	跳过连接跟踪

9.2 LOG 目标

9.2.1 用途

LOG 目标将匹配的数据包信息记录到系统日志，而不终止规则遍历（与 ACCEPT/DROP 不同）。这是调试防火墙规则的重要工具。

9.2.2 语法

# 基本日志记录
iptables -A INPUT -j LOG

# 带前缀的日志
iptables -A INPUT -p tcp --dport 22 -j LOG --log-prefix "SSH-ACCESS: "

# 指定日志级别
iptables -A INPUT -j LOG --log-level 4  # warning

# 同时记录 TCP 序列号（调试用）
iptables -A INPUT -j LOG --log-tcp-sequence

# 同时记录 IP 选项
iptables -A INPUT -j LOG --log-ip-options

# 同时记录 TCP 选项
iptables -A INPUT -j LOG --log-tcp-options

9.2.3 参数说明

参数	说明	默认值
`--log-prefix`	日志前缀（最多 29 字符）	空
`--log-level`	日志级别（0-7）	4 (warning)
`--log-tcp-sequence`	记录 TCP 序列号	关闭
`--log-tcp-options`	记录 TCP 选项	关闭
`--log-ip-options`	记录 IP 选项	关闭
`--log-uid`	记录发起进程的 UID	关闭

9.2.4 日志级别

级别	名称	说明
0	emerg	紧急
1	alert	警报
2	crit	临界
3	err	错误
4	warning	警告（推荐）
5	notice	通知
6	info	信息
7	debug	调试

9.2.5 日志配置

# iptables 日志默认写入 /var/log/messages 或 /var/log/kern.log
# 可以通过 rsyslog 配置分离 iptables 日志

# 创建 /etc/rsyslog.d/iptables.conf
cat > /etc/rsyslog.d/iptables.conf << 'EOF'
:msg, contains, "IPT-" /var/log/iptables.log
& stop
EOF

# 重启 rsyslog
systemctl restart rsyslog

# 配合 logrotate 防止日志过大
cat > /etc/logrotate.d/iptables << 'EOF'
/var/log/iptables.log {
    daily
    rotate 30
    compress
    delaycompress
    missingok
    notifempty
    create 0640 root root
    postrotate
        /usr/bin/systemctl reload rsyslog > /dev/null 2>&1 || true
    endscript
}
EOF

9.2.6 业务场景

#!/bin/bash
# ═══════════════════════════════════════════════════
# 日志记录方案
# ═══════════════════════════════════════════════════

# 已建立的连接（不记录，减少日志量）
iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

# 允许 SSH，记录登录尝试
iptables -A INPUT -p tcp --dport 22 --syn \
  -j LOG --log-prefix "IPT-SSH-NEW: " --log-level 4
iptables -A INPUT -p tcp --dport 22 -j ACCEPT

# 记录被拒绝的 HTTP 请求
iptables -A INPUT -p tcp --dport 80 --syn \
  -m hashlimit --hashlimit-above 50/sec --hashlimit-mode srcip \
  --hashlimit-name http_log --hashlimit-burst 100 \
  -j LOG --log-prefix "IPT-HTTP-RATE: " --log-level 4

# 记录所有被丢弃的数据包（限速，防止日志泛洪）
iptables -A INPUT \
  -m limit --limit 10/min --limit-burst 20 \
  -j LOG --log-prefix "IPT-INPUT-DROP: " --log-level 4

# 默认拒绝
iptables -P INPUT DROP

9.2.7 NFLOG 目标（推荐）

NFLOG 是 LOG 的替代方案，它将日志通过 Netlink 传递给用户态的 ulogd2 守护进程，性能更好、功能更强大：

# 使用 NFLOG 记录日志到 NFLOG group 1
iptables -A INPUT -j NFLOG --nflog-group 1 --nflog-prefix "IPT-DROP"

# ulogd2 配置可以将日志写入文件、数据库等
# 安装：apt install ulogd2
# 配置文件：/etc/ulogd.conf

特性	LOG	NFLOG
性能	较低（同步写入内核日志）	高（异步 Netlink）
目标	syslog	ulogd2（可配置多种输出）
格式	文本	可配置（文本、JSON、数据库）
适用场景	简单日志需求	大规模日志收集

9.3 REJECT 目标

9.3.1 拒绝类型

# 默认拒绝（ICMP port unreachable）
iptables -A INPUT -p tcp --dport 8080 -j REJECT

# TCP RST 拒绝（适用于 TCP 协议）
iptables -A INPUT -p tcp --dport 8080 -j REJECT --reject-with tcp-reset

# ICMP 网络不可达
iptables -A INPUT -j REJECT --reject-with icmp-net-unreachable

# ICMP 主机不可达
iptables -A INPUT -j REJECT --reject-with icmp-host-unreachable

# ICMP 协议不可达
iptables -A INPUT -p tcp --dport 22 -j REJECT --reject-with icmp-proto-unreachable

9.3.2 拒绝类型一览

类型	说明	适用协议
`icmp-net-unreachable`	网络不可达	所有
`icmp-host-unreachable`	主机不可达	所有
`icmp-port-unreachable`	端口不可达（默认）	所有
`icmp-proto-unreachable`	协议不可达	所有
`icmp-net-prohibited`	网络被禁止	所有
`icmp-host-prohibited`	主机被禁止	所有
`icmp-admin-prohibited`	管理禁止	所有
`tcp-reset`	TCP RST	仅 TCP

9.3.3 DROP vs REJECT 选择指南

                    ┌──────────────────┐
                    │ 使用场景？        │
                    └────────┬─────────┘
                       ┌─────┼──────┐
                       ▼     ▼      ▼
                  生产环境  内部网络  调试/开发
                  外部接口  服务器间     环境
                       │     │      │
                       ▼     ▼      ▼
                    DROP   REJECT   REJECT
                   (安全)  (友好)   (调试方便)

9.4 MASQUERADE 目标

9.4.1 与 SNAT 的对比

# SNAT（固定公网 IP）
iptables -t nat -A POSTROUTING -s 10.0.0.0/24 -o eth0 \
  -j SNAT --to-source 203.0.113.1

# MASQUERADE（动态 IP，如 DHCP 或拨号）
iptables -t nat -A POSTROUTING -s 10.0.0.0/24 -o eth0 \
  -j MASQUERADE

# MASQUERADE 指定端口范围
iptables -t nat -A POSTROUTING -s 10.0.0.0/24 -o eth0 \
  -j MASQUERADE --to-ports 1024-65535

9.5 TEE 目标

9.5.1 用途

TEE 目标将数据包的副本发送到另一个网关地址，实现流量镜像。原始数据包继续正常处理。

9.5.2 语法

# 将所有入站流量镜像到分析服务器
iptables -t mangle -A PREROUTING -i eth0 \
  -j TEE --gateway 10.0.0.200

# 只镜像 HTTP 流量
iptables -t mangle -A PREROUTING -i eth0 -p tcp --dport 80 \
  -j TEE --gateway 10.0.0.200

# 使用外部网关（跨网段需要路由可达）
iptables -t mangle -A PREROUTING -i eth0 \
  -j TEE --gateway 192.168.100.1

9.5.3 业务场景

#!/bin/bash
# ═══════════════════════════════════════════════════
# 流量镜像到 IDS/IPS 入侵检测系统
# ═══════════════════════════════════════════════════

# 镜像所有入站流量到 Suricata/Snort 分析服务器
iptables -t mangle -A PREROUTING -i eth0 \
  -m comment --comment "Mirror to IDS" \
  -j TEE --gateway 10.0.0.200

# 只镜像特定端口的流量（减少分析服务器负载）
iptables -t mangle -A PREROUTING -i eth0 -p tcp \
  -m multiport --dports 22,80,443,3306 \
  -m comment --comment "Mirror critical ports to IDS" \
  -j TEE --gateway 10.0.0.200

注意：TEE 需要目标网关在同一个广播域（二层可达），或者有路由可达。TEE 在 mangle 表中使用效果最佳。

9.6 NFQUEUE 目标

9.6.1 用途

NFQUEUE 将数据包传递到用户态程序进行处理。用户态程序可以决定接受（ACCEPT）、丢弃（DROP）或修改数据包。

9.6.2 语法

# 将数据包传递到队列 0
iptables -A INPUT -p tcp --dport 80 -j NFQUEUE --queue-num 0

# 传递到队列 0，不修改数据包（旁路模式）
iptables -A INPUT -j NFQUEUE --queue-num 0 --queue-bypass

# 多队列（多核并行处理）
iptables -A INPUT -p tcp --dport 80 -j NFQUEUE --queue-num 0
iptables -A INPUT -p tcp --dport 443 -j NFQUEUE --queue-num 1

9.6.3 用户态处理程序

#!/usr/bin/env python3
# 使用 nfqueue 库处理数据包
# 安装：pip3 install netfilterqueue

from netfilterqueue import NetfilterQueue

def packet_handler(packet):
    """处理每个数据包"""
    print(f"Packet: {len(packet.get_payload())} bytes")
    # 接受数据包
    packet.accept()

nfqueue = NetfilterQueue()
nfqueue.bind(0, packet_handler)  # 绑定队列 0

try:
    nfqueue.run()
except KeyboardInterrupt:
    nfqueue.unbind()

# 配置 iptables 规则
iptables -A INPUT -p tcp --dport 80 -j NFQUEUE --queue-num 0

# 运行用户态处理程序
sudo python3 nfqueue_handler.py

9.6.4 业务场景：WAF（Web 应用防火墙）

NFQUEUE 常用于实现用户态的 Web 应用防火墙，如基于 Python/Go 的自定义 WAF。它可以检查 HTTP 请求内容，识别并阻止 SQL 注入、XSS 等攻击。

9.7 CLASSIFY 目标

9.7.1 用途

CLASSIFY 目标为数据包设置 tc（traffic control）的类标识，配合 Linux 流量控制使用。

# 将 SSH 流量分类到高优先级类别
iptables -t mangle -A FORWARD -p tcp --dport 22 \
  -j CLASSIFY --set-class 1:10

# 将 HTTP 流量分类到普通类别
iptables -t mangle -A FORWARD -p tcp --dport 80 \
  -j CLASSIFY --set-class 1:20

# 将 P2P 流量分类到低优先级类别
iptables -t mangle -A FORWARD -p tcp --dport 6881:6889 \
  -j CLASSIFY --set-class 1:40

9.8 SNAT 和 DNAT 的高级用法

9.8.1 多目标 NAT（负载均衡）

# 将 HTTP 流量随机分发到三台后端服务器
iptables -t nat -A PREROUTING -p tcp --dport 80 \
  -m statistic --mode random --probability 0.33 \
  -j DNAT --to-destination 10.0.0.10:80

iptables -t nat -A PREROUTING -p tcp --dport 80 \
  -m statistic --mode random --probability 0.50 \
  -j DNAT --to-destination 10.0.0.11:80

iptables -t nat -A PREROUTING -p tcp --dport 80 \
  -j DNAT --to-destination 10.0.0.12:80

9.8.2 SNAT 端口范围

# 指定 SNAT 的源端口范围
iptables -t nat -A POSTROUTING -s 10.0.0.0/24 -o eth0 \
  -j SNAT --to-source 203.0.113.1:1024-65535

9.8.3 端口映射

# 将公网 8080 映射到内网 80
iptables -t nat -A PREROUTING -p tcp --dport 8080 \
  -j DNAT --to-destination 10.0.0.10:80

# 将公网 2222 映射到内网 SSH 服务器的 22 端口
iptables -t nat -A PREROUTING -p tcp --dport 2222 \
  -j DNAT --to-destination 10.0.0.5:22

# 映射整个端口段
iptables -t nat -A PREROUTING -p tcp --dport 5000:5100 \
  -j DNAT --to-destination 10.0.0.10

9.9 自定义链作为目标

9.9.1 使用自定义链组织规则

#!/bin/bash
# ═══════════════════════════════════════════════════
# 使用自定义链的完整防火墙方案
# ═══════════════════════════════════════════════════

# 清空规则和自定义链
iptables -F
iptables -X

# ─── 创建自定义链 ───

# SSH 访问规则链
iptables -N SSH_CHAIN
iptables -A SSH_CHAIN -s 192.168.1.0/24 -j ACCEPT
iptables -A SSH_CHAIN -s 10.0.0.0/8 -j ACCEPT
iptables -A SSH_CHAIN -j LOG --log-prefix "IPT-SSH-DENY: "
iptables -A SSH_CHAIN -j DROP

# Web 访问规则链
iptables -N WEB_CHAIN
iptables -A WEB_CHAIN -p tcp -m multiport --dports 80,443 -j ACCEPT
iptables -A WEB_CHAIN -j DROP

# 数据库访问规则链
iptables -N DB_CHAIN
iptables -A DB_CHAIN -s 10.0.1.0/24 -p tcp --dport 3306 -j ACCEPT
iptables -A DB_CHAIN -s 10.0.1.0/24 -p tcp --dport 5432 -j ACCEPT
iptables -A DB_CHAIN -j LOG --log-prefix "IPT-DB-DENY: "
iptables -A DB_CHAIN -j DROP

# 日志链
iptables -N LOG_DROP
iptables -A LOG_DROP -m limit --limit 10/min --limit-burst 20 \
  -j LOG --log-prefix "IPT-DROP: "
iptables -A LOG_DROP -j DROP

# ─── 主链规则 ───

# 已建立的连接
iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

# 回环接口
iptables -A INPUT -i lo -j ACCEPT

# SSH
iptables -A INPUT -p tcp --dport 22 -j SSH_CHAIN

# Web
iptables -A INPUT -j WEB_CHAIN

# 数据库
iptables -A INPUT -p tcp -m multiport --dports 3306,5432 -j DB_CHAIN

# 其他未匹配的包记录日志并丢弃
iptables -A INPUT -j LOG_DROP

# 默认策略
iptables -P INPUT DROP

9.10 注意事项

⚠️ LOG 不终止规则遍历：LOG 目标只是记录日志，数据包会继续匹配后续规则。如果同时有 LOG 和 DROP，需要分别写两条规则。

# 正确做法：LOG + DROP 分开
iptables -A INPUT -j LOG --log-prefix "IPT-DROP: "
iptables -A INPUT -j DROP

# 或使用自定义链
iptables -N LOG_AND_DROP
iptables -A LOG_AND_DROP -j LOG --log-prefix "IPT-DROP: "
iptables -A LOG_AND_DROP -j DROP
iptables -A INPUT -j LOG_AND_DROP

⚠️ LOG 的性能影响：高频日志会显著影响系统性能。务必配合 limit 或 hashlimit 模块限速。

⚠️ TEE 的网络要求：TEE 需要目标网关在二层可达（同一广播域），否则需要配置 ARP 代理。

⚠️ NFQUEUE 的依赖：需要内核编译时启用 CONFIG_NETFILTER_XT_TARGET_NFQUEUE，并安装用户态库。

9.11 扩展阅读

资源	说明
`man iptables-extensions`	所有扩展目标的手册
`man ulogd2`	NFLOG 用户态守护进程
`man tc`	流量控制工具
Netfilter Queue	用户态包处理库

本章小结

目标	功能	特点
LOG	记录日志	不终止遍历，继续匹配
NFLOG	Netlink 日志	高性能，配合 ulogd2
REJECT	拒绝并回复	友好，暴露主机存在
TEE	流量镜像	副本发送到指定网关
NFQUEUE	用户态处理	灵活，适合 WAF/IDS
CLASSIFY	tc 分类	流量控制

下一章：第 10 章：连接跟踪机制，将深入学习 conntrack 的状态机和高级用法。

强曰为道

第 09 章：扩展目标与动作

第 09 章：扩展目标与动作

9.1 目标（Target）分类

9.1.1 基本目标 vs 扩展目标

9.2 LOG 目标

9.2.1 用途

9.2.2 语法

9.2.3 参数说明

9.2.4 日志级别

9.2.5 日志配置

9.2.6 业务场景

9.2.7 NFLOG 目标（推荐）

9.3 REJECT 目标

9.3.1 拒绝类型

9.3.2 拒绝类型一览

9.3.3 DROP vs REJECT 选择指南

9.4 MASQUERADE 目标

9.4.1 与 SNAT 的对比

9.5 TEE 目标

9.5.1 用途

9.5.2 语法

9.5.3 业务场景

9.6 NFQUEUE 目标

9.6.1 用途

9.6.2 语法

9.6.3 用户态处理程序

9.6.4 业务场景：WAF（Web 应用防火墙）

9.7 CLASSIFY 目标

9.7.1 用途

9.8 SNAT 和 DNAT 的高级用法

9.8.1 多目标 NAT（负载均衡）

9.8.2 SNAT 端口范围

9.8.3 端口映射

9.9 自定义链作为目标

9.9.1 使用自定义链组织规则

9.10 注意事项

9.11 扩展阅读

本章小结