Iptables设置INPUT链默认DROP规则后为何阻断回环接口流量？

兄弟，我来给你捋明白这个事儿！你遇到的问题其实是对iptables双向流量逻辑理解不到位导致的，咱们一步步拆解：

问题根源分析 #

你设置了INPUT链默认DROP，只添加了一条允许TCP 8080端口入站的规则，外部LAN机器能正常连接，但本地用localhost访问就超时，改回INPUT默认ACCEPT就恢复正常——核心问题出在本地回环通信的双向流量匹配规则上。

咱们拆解本地回环连接的完整流量走向：
当你在本机执行nc localhost 8080时，本质是本机客户端（nc）和本机服务器（Python http.server）的内部通信，数据包走回环接口lo，但流量是双向的：

1. 客户端发起的请求包：源端口是随机分配的（比如34567），目标端口是8080，这个包走OUTPUT链（你设置的默认ACCEPT，所以能正常发出去），顺利到达服务器。
2. 服务器的回应包：源端口是8080，目标端口是客户端的随机端口（34567），这个包需要进入INPUT链，但你的INPUT规则只允许目标端口为8080的数据包，完全匹配不上这个回应包，所以直接被默认的DROP策略拦截了，自然就出现连接超时的情况！

而外部机器能正常连接的原因是：外部客户端发起的请求包目标端口是8080，进入INPUT链时匹配到你的规则被允许，服务器回应的包走OUTPUT链（默认ACCEPT）发回外部，整个流程没有阻碍。

两种实用解决方案 #

方案1：直接允许回环接口的所有流量 #

回环接口的流量都是本机内部通信，几乎没有安全风险，直接添加这条规则即可：

iptables -A INPUT -i lo -j ACCEPT

这条规则会放行所有来自回环接口lo的入站流量，本地连接立刻就能正常工作。

方案2：允许已建立/相关的连接流量 #

这种方式更通用，不仅解决回环问题，还能让所有已建立连接的回应流量自动通过（比如后续新增其他服务，外部连接的回应也不用单独加规则）：

iptables -A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT

这条规则会匹配所有属于已建立连接的回应包，或是与已建立连接相关的辅助包，不管是本地还是外部的连接，双向流量都能顺畅走通。

注意：iptables是按规则从上到下匹配的，建议把上面的规则放在你那条--dport 8080的规则前面，匹配效率会更高。

备注：内容来源于stack exchange，提问作者Bongo