搜索: iptables

K8s DNS 故障排查实战：iptables 封禁 53 端口引发的 DNS 雪崩

标题匹配

title: K8s DNS 故障排查实战：iptables 封禁 53 端口引发的 DNS 雪崩

tags: [kubernetes, dns, iptables, troubleshooting, networking, production]

- raw/articles/一条错误的iptables规则-干翻了整个K8s集群DNS-附完整排查过程.md

# K8s DNS 故障排查实战：iptables 封禁 53 端口引发的 DNS 雪崩

> **一句话复盘：** 运维安全加固脚本误加了一条 `iptables -A OUTPUT -p udp --dport 53 -j DROP`，导致 DNS 上游转发失败 → CoreDNS 超时积压崩溃 → 全集群 DNS 解析不可用。从症状到根因，层层递进排查了 76 分钟。

Kubernetes kube-proxy 模式选型与切换：iptables vs IPVS

标题匹配

title: Kubernetes kube-proxy 模式选型与切换：iptables vs IPVS

sources: [raw/articles/Kubernetes-网络的-iptables-vs-IPVS-模式-性能差在哪-选哪个-怎么切.md]

# Kubernetes kube-proxy 模式选型与切换：iptables vs IPVS

> ⚠️ **更新提醒**：K8s v1.32 实验性支持 nftables 模式，v1.33 正式 GA。但截至目前 iptables 仍是默认模式，切换 IPVS/nftables 需手动操作。

# iptables → "Using iptables proxy"

Linux 四大防火墙对比与实战 — iptables/nftables/firewalld/ufw 配置总结

标题匹配

title: Linux 四大防火墙对比与实战 — iptables/nftables/firewalld/ufw 配置总结

sources: [raw/articles/Linux四种防火墙看这个秒懂-iptables-nftables-firewalld-ufw配置总结.md]

# Linux 四大防火墙对比与实战 — iptables/nftables/firewalld/ufw 配置总结

CNI 网络插件深度对比 — Flannel vs Calico vs Cilium

传统 iptables Flannel (VXLAN) Calico (BGP)

- **Felix agent**：运行在每个节点上，负责编排 iptables 规则实现 NetworkPolicy

- **eBPF 数据面（可选）**：替换 iptables，性能大幅提升

- **NetworkPolicy 完整实现**：iptables + 细粒度策略，K8s 原生 NetworkPolicy 的最完整实现之一

网络基础必知必会 — IP/子网掩码/网关/路由/VLAN 完全解读

iptables -L -n -v # 查防火墙

**排查：** 确认 IP/掩码正确 → `arp -a` 看 MAC → `iptables -L INPUT` 查 ICMP 是否被 DROP。

**排查：** `nc -zv` 测端口 → `traceroute` 追跳点 → `iptables -L OUTPUT` → 检查 MTU（`ping -M do -s 1400`）、检查代理变量 `echo $http_proxy`。

### iptables 概要

iptables -A INPUT -p tcp --dport 22 -j ACCEPT # SSH

网络丢包排查全链路分析：从 ping 到 tcpdump 逐层排查指南

| **逻辑丢包** | 网络协议栈内部（IP/TCP/socket） | `/proc/net/snmp`、`nstat`、`ss`、`conntrack`、`iptables` |

### 第八步：查看 Netfilter/iptables 丢包

iptables -L -n -v # 查看各规则匹配的包数量

iptables -L INPUT -n -v # 入站规则，看 DROP 计数

iptables -t filter -L -n -v # filter 表

服务器网络排障方法论 — 分层定位七步法

### ④ 防火墙 & iptables

# iptables

iptables -L -n -v

iptables-save > /root/iptables.bak # 操作前先备份！

**⚠️ `--permanent` 不加的话，重启就全没了。** 生产环境操作 iptables 前**一定先备份**，误操作锁死自己连控制台都救不回来。

运维工程师面试 50 题 — 经典 Linux/网络/数据库基础全覆盖

### 24. iptables 规则管理

iptables -A INPUT -p tcp --dport 22 -j ACCEPT

iptables -A INPUT -s 192.168.1.100 -j DROP

iptables-save > /etc/iptables/rules.v4

参见 [[ssh-brute-force-protection-guide]]（fail2ban + iptables 防暴力破解）。

线上服务端口连不上？完整排查指南（从进程到客户端）

| Connection refused | 端口没在监听，或被 iptables REJECT | 服务是否启动、端口是否监听 |

**iptables（Ubuntu/底层）：**

iptables -L INPUT -n -v --line-numbers # 看入站规则

iptables -I INPUT -p tcp --dport 8080 -j ACCEPT # 临时放行

> 临时关闭防火墙测试（仅排查用）：`iptables -F && iptables -P INPUT ACCEPT`，用完立即恢复。

K8s 架构与核心概念深度解析 — 面试通关秘籍（一）

| **Kube-proxy** | 网络代理，维护节点上的网络规则（iptables/ipvs），实现 Service 负载均衡 |

→ kube-proxy 更新 iptables/ipvs 规则

→ kube-proxy iptables/ipvs 规则

| [[k8s-iptables-ipvs-switch-guide]] | Kubernetes kube-proxy 模式选型与切换：iptables vs IPVS 原理对 |

Kubernetes 负载均衡深度实践：Service 数据面到生产级流量治理全链路

### iptables 的核心缺陷

- **规则链膨胀**：每增加一个 Service，iptables 规则链线性增长，更新一条规则需全量 reload

- **连接跟踪压力**：iptables 依赖 conntrack 模块，高并发时 conntrack 表打满导致丢包

3. 检查 iptables/IPVS 规则：

K8s 服务访问排查 — 从 Pod、Service 到 Ingress 十步工作流

PodA → ClusterIP:ServicePort → kube-proxy (iptables/ipvs) → EndpointIP:ContainerPort → PodB

- kube-proxy 的 iptables/ipvs 规则是否正确生成

kube-proxy 运行在每个节点上，监听 Service 和 Endpoints 的变化，动态更新本地的 iptables 或 ipvs 规则。

- **iptables 模式**：默认，性能稍差，但稳定

### 4.3 iptables 模式排查

Service 与网络排障 — Endpoints / DNS / kube-proxy / CNI / NetworkPolicy / Ingress

kube-proxy 运行在每个节点上，监听 Service 和 Endpoints 的变化，动态更新本地的 iptables 或 ipvs 规则。

# iptables 模式：默认，稳定但性能稍差

### iptables 模式排查

ssh "sudo iptables -t nat -L -n | grep "

ssh "sudo iptables -t filter -L FORWARD -n | grep KUBE"

服务器被挖矿了怎么办 — 挖矿木马应急响应与安全加固全记录

tags: [linux, security, incident-response, troubleshooting, production, methodology, case-study, ssh, iptables, monitoring]

iptables -A OUTPUT -j DROP # 禁止所有出站

iptables -I OUTPUT -d 192.168.1.100 -j ACCEPT # 仅允许访问指定 IP（如内网监控服务器）

| 限制远程访问 | sshd_config 加 `AllowUsers [email protected]/24`；防火墙 `iptables -A INPUT -p tcp --dport 22 -s 192.168.1.0/24 -j ACCEPT` + 非该网段 DROP。⚠️ 配置错误可能锁死自己，先加当前 IP 或走带外管理 |

iptables 基线（含暴力破解速率限制）：

服务器安全加固清单 — 新机器上线前必做的 20 件事

⚠️ 任何生产环境操作前，必须先做好备份和快照。加固涉及 SSH、iptables、服务重启，操作失误可能导致服务器无法登录。

# iptables 底层（firewalld 操作前务必备份）

sudo iptables-save > /root/iptables.bak

**SSH 速率限制补充**（2026-09-05 挖矿应急文）：iptables `recent` 模块限 60 秒内新建连接数，`--hitcount 4` 起丢弃，可直接挡住暴力破解节奏：

iptables -A INPUT -p tcp --dport 22 -m state --state NEW -m recent --set

SSH 暴力破解防御指南 — 公钥认证 / fail2ban / 2FA / 入侵检测 / 连接限制 / 蜜罐

iptables -L f2b-sshd -n # 查看规则

iptables -A INPUT -p tcp -s <运维IP> --dport 2222 -j ACCEPT

**iptables recent 模块速率限制**（2026-09-05 挖矿应急文补充，无需 fail2ban 的轻量方案）：

iptables -A INPUT -p tcp --dport 22 -m state --state NEW -m recent --set

iptables -A INPUT -p tcp --dport 22 -m state --state NEW -m recent --update --seconds 60 --hitcount 4 -j DROP

TCP 连接数暴涨排查 — 异常流量识别与应对完整手册

iptables/nftables 用 conntrack 跟踪所有连接状态：每个连接占一个表项，数量由 net.netfilter.nf_conntrack_max 限制；**表满时新连接被拒绝，日志显示 nf_conntrack: table full**。

**单 IP：** iptables -I INPUT -s 203.0.113.50 -j DROP；IP 段 iptables -I INPUT -s 203.0.113.0/24 -j DROP；查规则 iptables -L INPUT -n --line-numbers；删除 iptables -D INPUT 1。

if ! iptables -C INPUT -s $ip -j DROP 2>/dev/null; then

iptables -I INPUT -s $ip -j DROP

iptables -I INPUT -m set --match-set blacklist src -j DROP

Wiki Index

- [[anti-brute-force-script]] — SSH 防暴力破解脚本：iptables/ufw 自动封禁 + whitelist + Webhook 通知 + systemd 服务

- [[k8s-dns-iptables-troubleshooting]] — K8s DNS 故障真实案例复盘：iptables 封禁 53 端口导致 CoreDNS 雪崩，完整排障过程与加固方案

- [[k8s-iptables-ipvs-switch-guide]] — Kubernetes kube-proxy 模式选型与切换：iptables vs IPVS 原理对比、性能拐点、切换操作全流程、踩坑指南

- [[linux-firewall-comparison-guide]] — Linux 四大防火墙对比与实战—iptables/nftables/firewalld/ufw 四种防火墙配置总结、选型建议与生产避坑准则

- [[linux-mining-trojan-ir-runbook]] — 服务器被挖矿了怎么办 — 应急响应标准 runbook：11 阶段全流程（发现→隔离→取证→定位→持久化分析→清除→根因→修复→加固→验证→监控）+ 矿池端口/持久化五类位置/ld.so.preload/iptables recent 限速/回滚方案与生产纪律

Wiki Log

- 完整的 Linux SSH 防暴力破解 bash 脚本（iptables/ufw 自动封禁）

- 本文系统讲解 Kubernetes 负载均衡从 Service 数据面到生产级流量治理的全链路方案，涵盖 kube-proxy（iptables/IPVS/eBPF）三种模式对比、Ingress Controller 选型、Service Mesh 影响分析、conntrack 高并发陷阱与止血方案、无损发布与灰度策略、跨可用区流量治理

| 2026-09-07 | ingest | 服务器被挖矿了怎么办？应急响应与安全加固全记录（微信公众号「马哥Linux运维」2026-09-05） | 新建 raw/articles/2026-09-07-mining-trojan-incident-response-hardening.md（sha256 947cd153…，26218 字符）+ concepts/linux/linux-mining-trojan-ir-runbook.md 主承载页（543 行：11 阶段流程 + 四维特征画像 + 7 环节攻击链 + 隔离三方式 + 取证规范 + 持久化 5 类位置含 ld.so.preload + 清除逐项 + 入侵途径 6 方向 + 加固 8 项含 cron.allow/编译工具/iptables recent 限速 + 验证 8 项 + 回滚 5 类 + 生产纪律 8 条 + 排查路径 5 条）；查重：既有 4 页为知识域手册（挖矿案例/应急清单/检测工具/加固清单），本文为标准流程 runbook 互补建新页，SSH 加固/fail2ban/AIDE 等重复内容不复述；增量合并 4 页（hacked-server 补 ld.so.preload+/etc/profile.d 检查+evidence 目录指针 / mining-virus-guide 补矿池四端口+ld.so.preload / hardening-checklist 补第 14b 项 cron 白名单+编译工具 chmod 700+iptables recent 速率限制 / intrusion-detection 补 ld.so.preload 手工核查小节 / ssh-brute-force 补 recent 模块轻量限速），全部反向补链；extract 修复：预提取 unescape \xNN + pre→fence 处理（154 代码块围栏保留，155 bash 标题栏剥离），文末 1456 页笔记推广尾部剥离；index +1（Total 182→183）；SCHEMA linux 61→62 页 |

容器网络排障 6 层模型 — K8s/Docker/containerd 统一排查体系

| ④ 转发与 NAT 层 | iptables/nft FORWARD & MASQUERADE 生效？ | `iptables -L -n -v`, `iptables -t nat -L -n -v` |

| ⑤ 主机与内核层 | ip_forward、rp_filter、bridge-nf-call-iptables 等阻断？ | `sysctl net.ipv4.ip_forward`, `sysctl net.ipv4.conf.all.rp_filter` |

5. **NAT 命中** — `iptables -t nat -L -n -v` → pkts/bytes 增长，MASQUERADE 是否存在

- **宿主机：** `ip -br link` · `bridge fdb show` · `iptables -L -n -v`

Linux SSH 防暴力破解脚本 — anti_brute_force.sh 实战部署指南

> 一个功能完整的 Linux 防暴力破解 bash 脚本，自动检测 SSH 登录失败行为，对恶意 IP 进行 iptables/ufw 封禁。可作为 fail2ban 的轻量替代或补充方案。

| 自动封禁 IP | 超过阈值的 IP 自动被 iptables/ufw 封禁 |

脚本通过解析系统 SSH 认证日志（`/var/log/auth.log` 或 `/var/log/secure`），使用 `grep "Failed password"` 提取失败登录 IP，按出现次数排序。超过 `MAX_ATTEMPTS` 阈值的 IP 自动通过 `iptables -I INPUT -s -j DROP` 封禁（或 `ufw deny from `）。封禁记录写入 `/tmp/blocked_ips.db`，含封禁时间、解封时间、原因，供自动解封和查询使用。

- 脚本依赖 iptables 或 ufw，检查是否已安装

Docker 生产环境踩坑指南 — 10 + 5 个常见问题

- iptables 规则被意外修改：Docker 自动添加的 NAT 规则被清理

# 检查 Docker iptables NAT 规则

iptables -t nat -L -n | grep DOCKER

K8s Hairpin 发夹回流故障—Pod 无法访问自身 Service 深度解析

Pod 进程 → Service VIP → kube-proxy (iptables/IPVS NAT)

很多人第一时间误判 kube-proxy、iptables、IPVS 故障——因为问题只在 Service VIP 流量上体现。但真实丢包位置是 **Linux 内核 Bridge 二层转发环节**，和 K8s 上层组件无关。

- [[k8s-iptables-ipvs-switch-guide]] — kube-proxy 模式选型与切换

Linux 目录结构完全指南 — FHS 标准与运维实战

`fdisk`, `mkfs`, `mount`, `sysctl`, `iptables`, `reboot`, `shutdown`, `modprobe`

├── firewalld/ / iptables/ # 防火墙配置

| 查看防火墙规则 | /etc/firewalld/zones/ / /etc/iptables/ |

搜索结果: "iptables"