如何通过Iptables-Multiport在Linux上高效构建大规模端口转发规则的长尾？

本文共计826个文字，预计阅读时间需要4分钟。

很多人编写规则时想当然地使用以下格式：

multiport 在端口转发中实际起什么作用

它负责收紧 FORWARD 链的放行策略，避免“开了 DNAT 却放行了所有转发包”的安全隐患。典型场景是：你用 DNAT 把外网 2222、3389、5432 转发到内网服务器，但不想让其他任意端口的转发包通过。

• 先加 DNAT 规则（必须用 nat 表）：
  iptables -t nat -A PREROUTING -p tcp --dport 2222 -j DNAT --to-destination 192.168.1.10:22
iptables -t nat -A PREROUTING -p tcp --dport 3389 -j DNAT --to-destination 192.168.1.10:3389
iptables -t nat -A PREROUTING -p tcp --dport 5432 -j DNAT --to-destination 192.168.1.10:5432
• 再用 multiport 精确放行对应转发目标：
  iptables -A FORWARD -p tcp -d 192.168.1.10 -m multiport --dports 22,3389,5432 -j ACCEPT
• 最后补一条默认拒绝（否则 FORWARD 默认策略可能是 ACCEPT）：
  iptables -A FORWARD -j DROP

UDP 端口批量转发要注意端口映射一致性

UDP 是无连接协议，multiport 同样适用于 FORWARD 链的 UDP 放行，但 DNAT 本身对 UDP 端口范围的支持很脆弱。比如写 --dport 5000:5010 转发到 192.168.1.10:6000-6010，内核可能无法保证源端口与目的端口一一对应，导致回包失败。更稳妥的做法是：

• 对每个关键 UDP 端口单独写 DNAT 规则（哪怕有 10 个，也比范围映射可靠）
• 用 multiport 统一放行目标端口：
  iptables -A FORWARD -p udp -d 192.168.1.10 -m multiport --dports 53,123,161 -j ACCEPT
• 避免在 DNAT 中混用 TCP/UDP 规则——multiport 的 --dports 不区分协议，但 FORWARD 规则必须明确指定 -p tcp 或 -p udp

保存规则时 iptables-persistent 不自动加载 multiport 模块

很多系统（尤其是 Debian/Ubuntu）用 iptables-persistent 保存规则，但它默认不会记录模块依赖。重启后可能报错：iptables-restore: line N failed: iptables: No chain/target/match by that name。这是因为 multiport 是内核模块，需手动确保它被加载：

• 检查是否已加载：lsmod | grep nf_nat_ftp（multiport 通常随 nf_tables 自动载入，但保险起见）
• 强制加载（写入启动）：echo "nf_conntrack" | sudo tee -a /etc/modules；echo "xt_multiport" | sudo tee -a /etc/modules
• 保存前先测试规则是否可还原：iptables-save > /tmp/test.rules && iptables-restore

真正容易被忽略的是：DNAT 和 FORWARD 规则必须成对出现，且 multiport 只能加固后者——它不减少 DNAT 规则数量，也不替代 SNAT/MASQUERADE。端口越多，越要检查每条 DNAT 是否绑定了正确的接口（-i eth0）和协议（-p tcp），否则规则静默失效。