使用IPTables.Net在.NET 6 Web API中添加iptables规则不生效的解决

问题概述 #

我有一个.NET 6 Web API应用，需在宿主系统中编辑iptables规则。以下规则在bash中执行可正常生效：

-A INPUT -m tcp  --protocol tcp --source 2.2.2.2 --destination 1.1.1.1 --source-port 111 --destination-port 222 --jump DROP

但通过C#代码添加该规则时，系统无报错，执行iptables -L却看不到这条规则：

IpTablesRule rule = IpTablesRule.Parse($"-A  INPUT  -m tcp--protocol tcp --source 2.2.2.2 --destination 1.1.1.1 --source-port 111 --destination-port 222 --jump DROP", null, chains);

ipTablesSystem = new IpTablesSystem(system: new LocalFactory(), tableAdapter: new IPTablesBinaryAdapter());
inputChain = ipTablesSystem.GetChain(table: Table.FILTER, chain: Chain.INPUT, ipVersion: (int)IpVersion.V4);
inputChain.AddRule(rule);

可能原因及解决方法 #

1. 规则解析的格式错误 #

你在Parse字符串里把-m tcp和--protocol tcp连写了（-m tcp--protocol），缺少空格会导致解析器无法识别正确的参数，生成的规则无效。
修复方式：给参数之间补上空格，修正Parse语句：

IpTablesRule rule = IpTablesRule.Parse($"-A INPUT -m tcp --protocol tcp --source 2.2.2.2 --destination 1.1.1.1 --source-port 111 --destination-port 222 --jump DROP", null, chains);

2. 应用权限不足 #

iptables规则修改需要root权限，如果.NET应用以普通用户身份运行，即便代码无报错，也无法写入规则。
修复方式：

• 使用sudo启动Web API应用；
• 给应用二进制文件添加CAP_NET_ADMIN权限：

setcap cap_net_admin+ep /path/to/your/dotnet/app

3. IPTablesBinaryAdapter执行异常 #

该适配器可能未正确调用系统的iptables命令，或者传递的参数不符合预期。
排查方式：添加日志输出，查看适配器实际执行的命令及参数，确认是否和bash中手动执行的一致。

4. 规则未显式提交 #

部分iptables库需要显式调用提交方法才能将规则写入系统，否则仅在内存中暂存。
排查方式：查看使用的库文档，确认是否需要调用Save()、Commit()等方法完成规则持久化。

内容的提问来源于stack exchange，提问作者sorosh_sabz