debian10配置iptables持久化

转载自：https://www.xiaohuai.com/5142
RedHat和SUSE系列下有比较好用的iptables管理工具，可以像控制服务进程一样来对防火墙进行管理及控制，Debian系发行版默认不开启iptables，当然也没有与之相关的能直接管理的工具了。
正常情况下，我们写入的iptables规则将会在系统重启时消失。即使我们使用iptables-save命令将iptables规则存储到文件，在系统重启后也需要执行iptables-restore操作来恢复原有规则。

Debian有两种方法可以让系统重启时规则不消失也就是实现持久化iptables规则。

一、首先我们把我们需要设置的规则写到一个文本文件中，这样的好处是写完所有的规则便于查找排错，不要上来就通过命令添加规则。

在/etc/目录下新建local/目录，我喜欢把自定义的配置放到/etc/local/目录中便于以后管理，在新建iptables/目录存放规则文件。

新建ipv4规则rules.v4文件

mkdir -p /etc/iptables/
touch /etc/iptables/rules.v4

清除已有iptables规则

如果想清空的话，先把默认策略改为ACCEPT

iptables -P INPUT ACCEPT       (先把默认策略改为ACCEPT）

如果不执行这一句，很有可能导致网络中断，切记。

然后执行

iptables -F （之前前一定要查看iptables -L,确认默认策略为ACCEPT）
iptables -X
iptables -Z

自定义默认策略

iptables -P INPUT DROP                 
iptables -P OUTPUT ACCEPT        
iptables -P FORWARD DROP

定制各项规则

iptables -A INPUT -i lo -j ACCEPT
iptables -A INPUT -p tcp --dport 22 -j ACCEPT
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

可以根据实际的情况增减.主要是检查规则的先后顺序和命令的格式，没有问题就可以在命令行下逐条执行了，如果需要可以保存下来

二、方法一实现持久化iptables规则，通过脚本文件。

通过上面的方法已经配置好了iptables，下面我们用iptables-save命令将配置好的iptables的规则保存到/etc/iptables/rules.v4.1.save文件
```
root@debian:~# iptables-save > /etc/iptables/rules.v4.save
```
查看/etc/iptables/rules.v4.save文件的内容
```
root@debian:~# cat /etc/iptables/rules.v4.save
# Generated by iptables-save v1.6.0 on Thu Sep 27 09:13:42 2018
*filter
:INPUT DROP [0:0]
:FORWARD DROP [0:0]
:OUTPUT ACCEPT [0:0]
-A INPUT -i lo -j ACCEPT
-A INPUT -p tcp -m tcp --dport 22 -j ACCEPT
-A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
COMMIT
# Completed on Thu Sep 27 09:13:42 2018
```
通过上面的显示可以看到filter表中三个链的默认规则设置和定制的各项规则，可以把这个文件当作模板，根据实际情况进行配置。
这样就可以不用在通过iptables命令把需要设置的每一项都敲一遍，可以用iptables-resotre 命令直接从/etc/iptables/rules.v4.save文件
恢复所有规则，命令如下：
```
root@debian:~# iptables-resotre < /etc/iptables/rules.v4.save
```
设置开机启动
在/etc/network/if-pre-up.d/目录下新建个iptables文件（文件名可以自定义）并添加脚本
命令如下：
```
root@debian:~# vim /etc/network/if-pre-up.d/iptables
#!/bin/bash
/sbin/iptables-restore < /etc/iptables/rules.v4.save
```
上面添加的这个脚本文件的意思是在网络接口启动之前执行iptables-restore < /etc/iptables/rules.v4.1.save 命令
启动防火墙规则。
给这个新添加的文件/etc/network/if-pre-up.d/iptables执行权限
```
root@debian:~# chmod  +x /etc/network/if-pre-up.d/iptables
```

重启查看是否开机加载

root@debian:~# shutdown -r now
root@debian:~# iptables -L -n

三、方法二实现持久化iptables规则，使用iptables-persistent工具

安装iptables-persistent
安装的过程中安装软件会询问您是否要保存当前IPv4规则。
如果您已经定义了规则，则选择[是]保存即可。
```
Save current IPv4 rules?
<是>   <否>
选择：是
```
接下来会提示是否要保存当前IPv6规则。
我这里没有用到IPv6选择[否]即可。
```
Save current IPv6 rules?
<是>   <否>
选择：否
```
通上面的操作会在/etc目录下生成/iptables目录，并生成rules.v4文件用于存放IPv4规则，如果保存IPv6规则也会生产一个rules.v6文件
可以通过dpkg-reconfigure iptables-persistent命令从新启动刚才的选项进行配置即可。

iptables-persistent程序的命令是netfilter-persistent使用的语法如下

netfilter-persistent  选项(start|stop|restart|reload|flush|save)

说明

start：启动目录/etc/iptables/下rules.v4和rules.v6（如果有）文件里面的规则
stop：启动目录/etc/iptables/下rules.v4和rules.v6（如果有）文件里面的规则，暂时不可用，被flush选项取代
restart：从新启动目录/etc/iptables/下rules.v4和rules.v6（如果有）文件里面的规则
reload：从新加载动目录/etc/iptables/下rules.v4和rules.v6（如果有）文件里面的规则
flush：清楚防火墙的规则，但是不会清空/etc/iptables/下rules.v4和rules.v6（如果有）文件里面的规则
save：保持防火墙的规则，会清空/etc/iptables/下rules.v4和rules.v6（如果有）文件里面的规则，并从新写入防火墙现有的规则

通过netfilter-persistent save命令就可以保持防火墙当前的配置规则，系统重启后也不会丢失。
其实这个程序的作用就是将防火墙现有的规则保存下来，开机以后在从新加载，和第一种方法类似的，只是不用自己配置脚本，
我们可以查看/etc/iptables/下rules.v4文件的内容，如下：
```
root@debian:~# cat /etc/iptables/rules.v4
# Generated by iptables-save v1.6.0 on Thu Sep 27 16:39:54 2018
*filter
:INPUT ACCEPT [186:19951]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [71:11164]
-A INPUT -p tcp -m tcp --dport 22 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 23 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 24 -j ACCEPT
COMMIT
# Completed on Thu Sep 27 16:39:54 2018
```
可以看到和通过命令iptables-save保存的格式一样，以后我们也可以直接配置这个文件，在里面添加我们需要的规则，并通过命令从新加载即可。
可以通过systemctl查看到netfilter-persistent 服务是开机自启动的。