Debian防火墙与iptables关系

核心关系
在 Debian 上，真正的防火墙能力来自内核的 netfilter 框架；iptables 是操作 netfilter 的用户空间命令行工具，用于配置包过滤与 NAT 规则。许多 Debian 系统上还会安装 UFW（Uncomplicated Firewall） 作为更易用的前端，UFW 的底层依然是 iptables（或直接操作 netfilter）。自 Debian 10（Buster） 起，许多场景默认切换到 nftables，而 iptables 命令在很多发行版中作为兼容层指向 iptables-nft（可用 iptables -V 查看，如显示 “nf_tables” 即为 nft 后端）；Debian 9（Stretch） 时代则普遍以 iptables 为主。整体链路可概括为：netfilter（内核）← iptables/nftables（用户态配置）← UFW/firewalld（前端）。

层次与组件对照

如何选择与搭配

• 追求简单与通用：优先使用 UFW（Debian 家族常见默认前端），通过 ufw allow 22/tcp、ufw enable 等快速配置常见服务端口。适合大多数服务器与桌面场景。
• 需要细粒度或高级特性：直接使用 iptables/nftables 编写规则（如状态匹配、速率限制、日志、NAT 等），可获得最大可控性。
• 避免多套防火墙同时生效：不要同时运行 UFW 与 firewalld 等会改写规则的服务，否则容易出现规则互相覆盖、端口不可达等“冲突”现象。
• 版本与后端差异：在较新的 Debian（如 10+）上，系统可能默认使用 nftables 作为后端；此时 iptables 命令可能实际调用 iptables-nft。如需使用传统语义，可通过 update-alternatives 切换到 iptables-legacy；用 iptables -V 检查当前实现。

常用操作示例

• 查看规则
  • 查看 IPv4 规则：sudo iptables -L -n -v
  • 查看 NAT 规则：sudo iptables -t nat -L -n -v
• 允许常用端口（UFW）
  • sudo ufw allow 22/tcp
  • sudo ufw allow 80/tcp
  • sudo ufw allow 443/tcp
  • sudo ufw enable && sudo ufw status
• 允许常用端口（iptables）
  • sudo iptables -A INPUT -p tcp --dport 22 -j ACCEPT
  • sudo iptables -A INPUT -p tcp --dport 80 -j ACCEPT
  • sudo iptables -A INPUT -p tcp --dport 443 -j ACCEPT
• 规则持久化
  • Debian 9 常用：sudo iptables-save > /etc/iptables/rules.v4，并在网络启动脚本中恢复
  • 较新 Debian 常用包 iptables-persistent：安装时选择保存当前规则，后续通过 netfilter-persistent 服务管理