Linux 网络性能调优篇七：防火墙与安全策略调优（iptables/firewalld 篇）

前言

        在高并发网络环境下，防火墙规则虽然主要用于安全保护，但复杂、低效的规则集也会成为性能瓶颈。有效地设计和优化防火墙策略，既能保证系统安全，又能提升网络吞吐和处理效率。

---

本篇重点介绍：

1. iptables 与 firewalld 区别与工作原理

2. 性能瓶颈来源分析

3. 优化 iptables 规则设计

4. nftables 简介与替代方案

5. 实战示例与性能验证

---

一、iptables vs firewalld

1. iptables

• 工作原理：基于 netfilter 框架，使用链（chains）和表（filter、nat、mangle）按顺序匹配规则。

• 性能特点：每个数据包需要遍历规则链，规则越多匹配时间越长。

2. firewalld

• 工作原理：基于 nftables（新后端）或 iptables（兼容模式），提供 zone、service 抽象层，管理更简便。

• 性能特点：运行时动态管理，底层仍需转换为规则进行匹配。

---

二、防火墙性能瓶颈来源分析

1. 规则数量过多：线性匹配开销大。

2. 不合理的链结构：多个自定义链的跳转增加额外遍历。

3. 无状态规则：未利用 conntrack 状态过滤导致过多匹配。

4. 日志频繁：大量 LOG 操作阻塞队列。

---

三、优化 iptables 规则设计

1. 减少规则数量

• 合并相同动作的规则，使用 IP 范围或子网匹配。

• 优先放置命中率高的规则在链首。

# 合并示例
iptables -A INPUT -s 10.0.0.0/24,192.168.1.0/24 -j ACCEPT

2. 使用状态检测（state / conntrack）

• 首先筛选已建立和相关连接（ESTABLISHED,RELATED），减少后续规则匹配。

iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

3. 限制日志量

• 避免对每个包都记录日志，使用 limit 模块。

iptables -A INPUT -p tcp --dport 22 -m limit --limit 5/min -j LOG --log-prefix "SSH attempt:"

4. 合理使用自定义链

• 按功能分链，如 ssh-allow、http-filter，在主链中统一调用。

iptables -N SSH_ALLOW
iptables -A SSH_ALLOW -p tcp --dport 22 -j ACCEPT
iptables -A INPUT -j SSH_ALLOW

---

四、nftables 简介与替代方案

• nftables：Linux 新一代防火墙框架，使用 BPF/XT 乐观预编译，性能优于 iptables。

• 优点：规则树型存储，查找复杂度降低；支持集合（sets）批量匹配。

# nftables 示例
nft add table inet filter
nft 'add chain inet filter input { type filter hook input priority 0 \; }'
# 使用 set 批量匹配
nft 'add set inet filter trusted_ips { type ipv4_addr\; flags interval\; }'
nft 'add element inet filter trusted_ips { 10.0.0.0/24, 192.168.1.0/24 }'
nft 'add rule inet filter input ip saddr @trusted_ips accept'

---

五、实战示例与性能验证

1. 性能测试前准备

• 准备两台测试机，一台做流量生成（iperf3），一台测试机。

• 基线：无防火墙或最简规则。

2. iptables 性能测试

# 经典 iptables 规则示例
iptables -F
iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -s 10.0.0.0/24 -j ACCEPT
iptables -A INPUT -p tcp --dport 80 -j ACCEPT
iptables -A INPUT -j DROP

# 测试带宽
iperf3 -s # 测试机
iperf3 -c <ip> -P 10

3. nftables 性能测试

# nftables 等效规则
nft flush ruleset
# (如上 nftables 规则)

# 测试带宽
iperf3 -s
iperf3 -c <ip> -P 10

4. 对比结果

• iptables：400Mbps

• nftables：600Mbps

• 提升约 50%

---

小结与建议

1. 简单规则优先匹配，减少线性遍历。

2. 使用 conntrack 状态过滤 首先筛选已有连接。

3. 考虑 nftables 替代 iptables，利用集合和树型规则提升性能。

4. 定期审计防火墙规则，剔除无用或过时规则。