如何让Linux中的iptables内存运行规则不可修改

嗨，针对你想让内存中运行的iptables规则彻底不可被修改或删除的需求，我给你几个从内核层面入手的靠谱方案，比你之前用文件对比的方法要直接有效得多，而且能避免被绕过：

1. 用xt_lock模块锁定单条规则（推荐，灵活且可靠） #

这个内核模块可以给指定的iptables规则加锁，一旦锁定，内核会直接阻止任何修改或删除操作，是最常用的方案：

• 先确认你的内核是否支持该模块，运行以下命令查看：

  modinfo xt_lock
  

  如果有输出信息，说明内核支持；如果提示“module not found”，可能需要重新编译内核或安装对应的内核模块包。
• 加载模块：

  modprobe xt_lock
  

• 添加规则时带上-m lock --lock参数，比如你要添加一条允许SSH访问的规则并锁定：

  iptables -A INPUT -p tcp --dport 22 -j ACCEPT -m lock --lock
  

• 之后尝试修改或删除这条规则，会收到类似iptables: Resource temporarily unavailable.的错误，说明规则已经被内核锁定，无法操作。
• 你可以给所有需要保护的规则都加上这个锁定参数，灵活度很高。

2. 彻底锁定iptables操作（适合完全不需要修改规则的场景） #

如果你的系统不需要再调整iptables规则，可以直接从权限层面阻止所有修改操作：

• 移除iptables二进制文件的网络管理权限，即使root用户也无法修改规则：

  setcap -r /sbin/iptables
  

• 之后任何尝试运行iptables修改规则的操作都会提示权限不足。如果之后你自己需要修改规则，可以临时恢复权限：

  setcap cap_net_admin,cap_net_raw+ep /sbin/iptables
  

  修改完成后再移除权限即可。

3. 定制内核模块（极端场景可选） #

如果上面的方法都满足不了你的需求，还可以使用第三方内核模块（比如iptables-lock）来完全锁定iptables规则，但这个方法需要编译内核模块，对技术门槛要求较高，适合定制化的系统环境。

为什么文件对比的方法不靠谱？ #

你之前提到的备份文件对比方案确实存在明显缺陷：攻击者可以直接修改内存中的规则而不触碰备份文件，或者修改文件后直接加载新规则绕过检查，而且每次导出规则对比的操作效率很低，无法实时阻止修改行为。上面的方案都是从内核或权限层面直接阻止修改，可靠性和效率都高得多。

备注：内容来源于stack exchange，提问作者amirsalimi