如何优化CentOS iptables性能

在 CentOS（尤其是 CentOS 6/7，使用 iptables 而非 nftables）中优化 iptables 性能，核心目标是：减少规则匹配次数、降低 CPU 开销、避免锁竞争、利用内核特性。下面从 架构、规则、内核参数、工具替代 四个层面系统说明。

一、架构层面优化（最重要）

1. 使用 iptables + ipset（强烈推荐）

问题：大量 IP 规则（如封禁 IP、白名单）会导致 iptables 线性匹配，性能急剧下降。

优化方案：
用 ipset 存储 IP 集合，iptables 只做一次匹配。

# 创建 ipset
ipset create blacklist hash:ip

# 添加 IP
ipset add blacklist 1.2.3.4

# iptables 使用
iptables -A INPUT -m set --match-set blacklist src -j DROP

✅ 优点：

• 规则数量几乎不影响性能
• 支持百万级 IP

2. 避免过多规则链

原则：

• 减少自定义链数量
• 避免规则链嵌套过深
• 将高频规则放在前面

✅ 推荐结构：

raw → mangle → nat → filter

二、规则编写优化

3. 规则顺序优化（非常关键）

iptables 是 从上到下匹配，一旦命中就执行。

✅ 优化原则：

• 高频流量规则放前面
• 精确规则放前面
• 少用 -j LOG
• 少用 multiport 替代多个 dport

❌ 差：

iptables -A INPUT -p tcp --dport 80 -j ACCEPT
iptables -A INPUT -p tcp --dport 443 -j ACCEPT

✅ 好：

iptables -A INPUT -p tcp -m multiport --dports 80,443 -j ACCEPT

4. 减少不必要的模块加载

避免滥用：

• -m state
• -m conntrack
• -m string
• -m limit

尤其是：

-m string --string "xxx" --algo bm

❌ 性能杀手（逐包扫描）

5. 合理使用连接跟踪（conntrack）

conntrack 是性能瓶颈之一。

如果不需要 NAT：

iptables -t raw -A PREROUTING -p tcp --dport 80 -j NOTRACK

限制 conntrack 表大小

sysctl -w net.netfilter.nf_conntrack_max=262144
sysctl -w net.core.somaxconn=65535

查看当前：

cat /proc/sys/net/netfilter/nf_conntrack_count

三、内核参数优化（系统级）

6. 调整内核网络参数

编辑 /etc/sysctl.conf：

net.ipv4.ip_forward = 1
net.ipv4.tcp_syncookies = 1
net.ipv4.tcp_max_syn_backlog = 8192
net.core.netdev_max_backlog = 32768
net.core.somaxconn = 65535
net.netfilter.nf_conntrack_max = 524288

生效：

sysctl -p

7. 禁用不必要的表

如果不用 NAT：

iptables -t nat -F

如果不用复杂路由：

iptables -t mangle -F

四、工具与替代方案

8. 使用 iptables-legacy vs iptables-nft

CentOS 8+ 默认使用 nftables 后端。

查看：

iptables -V

如果你在 CentOS 7：

• 保持 iptables
• 不要混用 firewalld

9. 高并发场景建议

五、性能排查命令

查看规则命中情况

iptables -nvL

查看 conntrack 压力

cat /proc/sys/net/netfilter/nf_conntrack_count

排查 CPU 软中断

mpstat -P ALL 1

六、推荐的“高性能 iptables 模板”

*filter
:INPUT DROP [0:0]
:FORWARD DROP [0:0]
:OUTPUT ACCEPT [0:0]

-A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
-A INPUT -p tcp --dport 22 -j ACCEPT
-A INPUT -p tcp -m multiport --dports 80,443 -j ACCEPT
-A INPUT -m set --match-set blacklist src -j DROP
COMMIT

总结（重点）

✅ 最有效的优化手段：

1. ipset 替代大量 IP 规则
2. 规则排序优化
3. 减少 conntrack 使用
4. 避免字符串匹配
5. 内核参数调优

如果你愿意，可以告诉我：

• CentOS 版本
• 是否做 NAT / 网关
• 并发量 / 带宽
• 当前 iptables 规则数量

我可以帮你 针对性优化规则表。