STOP IPTABLES
为什么会有这个 wiki 页面？
在 Linux 中，iptables 是一个防火墙控制工具，但并不是一个“服务”。
真正内核中负责防火墙工作的是 Netfilter，iptables 仅仅是一个控制内核防火墙如何去工作的工具而已。
Netfilter 分为两部分：规则、附加模块。
由于部分发行版的 /etc/init.d/iptables 脚本存在一定 BUG，在运行 service iptables stop 时只能停掉“规则”，而无法停掉“附加模块”。
Netfilter 的 conntrack 机制往往是导致“可用性低”、“无法正确建连”、“响应时间差”的罪魁祸首。
对于无需做地址转换（NAT）的设备而言，完全无需启用 Netfilter 的 conntrack 功能，因此我们要彻底停掉它。
为什么 conntrack 会导致“可用性低”、“无法正确建连”、“响应时间差”等现象？
如果启用了 conntrack，所有连接，无论是 tcp 还是 udp 还是 icmp 甚至其他传输层协议，连接信息都会占用 conntrack（连接追踪表）。
默认情况下，Linux 的 conntrack_max 只有 65535。
当网络中连接数很高时，conntrack 表很快被占满，系统无法响应新请求（包括 ssh），这样会导致“可用性低”和“无法正确建连”的现象。
通过 sysctl 可以设置更大的 conntrack_max 值，但因为默认情况下 conntrack 的 hashsize 很小，
大量的连接会导致 Linux 系统查找 hash 表效率低下，会导致“响应时间差”的现象。
为什么 service iptables status 看不到任何规则，但 iptables 仍是“工作状态”？
因为即使没有任何规则，但只要针对某个表的某个（些）链进行过 -L 操作，就会自动载入 iptables 模块，这是 iptables 的一个特性。
为什么 service iptables status 看不到任何信息，但 lsmod|grep conn 仍能看到信息？
因为曾经由于某些原因，Netfilter 的 conntrack 被启用过，后期虽然停止过规则。
但由于某些发行版的脚本 /etc/init.d/iptables 存在 BUG，无法在停掉规则的同时禁用 conntrack 机制，
导致“可用性低”、“无法正确建连”、“响应时间差”等现象。
在什么情况下系统会自动载入 iptables？
- 启用了 iptables 服务，且 /etc/sysconfig/iptables 中有内容
- 仅仅运行过 iptables -L 命令查看过某个表，此时 kernel 会自动载入 iptables 的相关模块
在什么情况下会自动启用 conntrack 机制？
- /ets/sysconfig/iptables-config 中 IPTABLES_MODULES 变量不为空时
- 做 NAT 时
- 规则里使用了 state 模块时
- 规则里使用了 connbytes 模块时
- 规则里使用了 hashlimit 模块时
- 规则里使用了 connmark 模块时
- 规则里使用了 CONNMARK 动作时
如何知道 iptables 是何时、如何、被怎样启动的？
#! /bin/bash PID=`echo $$` DATE=`date` echo "DATE: $DATE" >> /tmp/iptables.log ps aufx|grep -rn15 $PID >> /tmp/iptables.log echo "PID is $PID" >> /tmp/iptables.log echo "$0 $*" >> /tmp/iptables.log echo -e "\n\n\n\n\n" >> /tmp/iptables.log
- 备份 /sbin/iptables 和 /sbin/iptables-restore
- 用上面的脚本替换这两个文件
- chmod a+x /sbin/iptables*
- 静观其变，等待系统自动生成 /tmp/iptables.log（记得最后将两个文件恢复回来）
如何彻底停掉 iptables？
若要彻底停掉 iptables，不仅需要清除所有规则，还要移除所有 iptables、Netfilter 相关的内核模块
清除所有规则比较简单，可以使用 service iptables stop 完成
但移除内核模块则需要考虑内核模块的依赖关系
可以考虑使用下面的代码完成
wget -qO- http://61.135.208.20/download/baijin/release/iptables-stop | bash
#! /bin/bash
service iptables stop
service ip6tables stop
chkconfig iptables off
chkconfig ip6tables off
for((i=0;i<10;i++))
do
for M in `lsmod|awk '/conn/||/xt_/||/ipt_/||/ip6t_/||/nf_/||/_tables/||/ip_vs/{print $1}'`
do
rmmod $M &>/dev/null
done
done
chkconfig --level 12345 iptables off
chkconfig --level 12345 ip6tables off
if [ "`lsmod |awk '/conn/'`" == "" ]
then
echo "iptables has been stopped completely."
else
echo "WARNING: For some reasons, iptables can NOT be stopped, the device must be rebooted!"
fi
如果必须使用 conntrack，如何优化其性能？
- 加大 hashsize
在确保 lsmod|grep conn 没有任何提示的情况下 modprobe nf_conntrack hashsize=200000
- 加大 conntrack_max 值
sysctl -w net.netfilter.nf_conntrack_max=1024000
- 缩短异常连接在 conntrack 表中的 timeout 时间
sysctl -w net.netfilter.nf_conntrack_tcp_timeout_established=7300
检查 iptables 是否是开机自启动
chkconfig --list iptables 如果有 on 就是开机自动启动
禁止 iptables 开机自动启动的方法是 chkconfig iptables off
必须使用 conntrack 的情况：CPIS WCCP 优化案例
增加 conntrack_max 数量
增加后可以存储更多的连接数据，不会造成 conntrack table full 的情况，提高可用性
增加 bucket 数量
增加 bucket 数量后，利用空间换时间的方法，将少量长链表换成多个短链表，单个链表检索速度会大幅度下降
降低 timeout 值
降低 timeout 值会让僵尸数据尽快从表中删除，提高效率，降低对 conntrack_max 的占用
降低 establish 值
原因同上，会提高效率，降低对 conntrack_max 的占用
