主页 / unix / 问题 / 789254
Accepted
incubus
Asked: 2025-01-09 01:50:23 +0800 CST

iptables-save 的行为似乎不一致

  • 772

我最近一直在使用该iptables-save命令（与 结合使用iptables-restore），并注意到一些我不明白的不一致行为。我确信这不是一个错误，因为它是一个太流行的命令，不可能被忽视，这意味着我自己的理解存在缺陷。我查看了手册页和各种文档来源，但找不到任何可以解释我所观察到的内容。

问题是，当我运行命令时iptables-save，我希望看到filter表转储到 stdout（根据文档）。但实际上我看到的什么都没有，例如：

[root@rhel9 ~]# iptables --list
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination         
[root@rhel9 ~]# 
...
[root@rhel9 ~]# iptables-save
[root@rhel9 ~]#

stdout如您所见，命令没有任何输出。同样，如果我运行命令并尝试重定向输出或传递-f <output file>选项，输出仍然是空白的。

如果我指定了我想要查看的表，我会得到输出，例如：

[root@rhel9 ~]# iptables-save -t filter
# Generated by iptables-save v1.8.8 (nf_tables) on Wed Jan  8 16:43:11 2025
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
COMMIT
# Completed on Wed Jan  8 16:43:11 2025

如果我将此输出保存到文件，ipv4backup然后调用iptables-restore该文件，则行为iptables-save会有所不同：

[root@rhel9 ~]# iptables-restore ipv4backup
[root@rhel9 ~]# 
[root@rhel9 ~]# iptables --list
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination         
[root@rhel9 ~]# 
[root@rhel9 ~]# iptables-save
# Generated by iptables-save v1.8.8 (nf_tables) on Wed Jan  8 16:44:03 2025
*filter
:INPUT ACCEPT [5:305]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [5:914]
COMMIT
# Completed on Wed Jan  8 16:44:03 2025

iptables-save上面的示例中的表包含相同的内容，但是根据是否iptables-restore事先调用，其行为有所不同。

我在 RHEL9 和 Ubuntu 22.04 上对此进行了测试，两者都表现出相同的行为。在 SuSE 15 上，该命令运行并生成所有表的输出，无论iptables-restore之前是否运行过。等效ip6tables...命令表现出相同的行为。

所以，问题是（基于上面观察到的行为），为什么iptables-save当表为空时不产生输出，但是如果我们恢复空表并再次调用该命令，我们会得到预期的输出（即空表）？

iptables

1 个回答

  1. Best Answer

    我的理解如下。

    iptables-save 将查询 Netfilter 以查看哪些表存在，然后它还将检查 iptables /proc/net/ip_tables_names。如果这两项都给出空结果，则 iptables-save 将不输出任何内容。如果返回了表名，则 iptables-save 将显示一些输出，即使表本身为空。

    当按照您描述的方式并使用您描述的输入执行 iptables-restore 时，将创建一个“过滤器”表，即使该表为空。

    据我所知，旧的 iptables 框架已过时，并被 Netfilter 取代。在这种情况下，iptables 命令实际上在后台使用新的 Netfilter。即您的 /proc/net/ip_tables_names 可能一直为空。假设您的系统是这种情况，您可以使用以下命令：

    nft list tables

    检查哪些表明确存在。在运行 iptables-restore 之前和之后尝试该命令。

    根据 nft 手册页，有 Netfilter 替代旧的 iptables-save 和 iptables-restore：

    根据设计，list ruleset 命令输出可用作 nft -f 的输入。实际上，这是 nft 版的 iptables-save 和 iptables-restore。

    • 0

相关问题