调用libiptc列举netfilter自定义链在Debian11仅返回默认链

根因分析 #

该现象和代码逻辑无关，是两个发行版的iptables默认运行模式差异导致：

• Ubuntu 20.04 搭载的iptables 1.8.4默认使用legacy后端，规则、链存储在传统netfilter的iptables架构中，libiptc作为专门对接legacy模式iptables的库，可以正常读取所有链信息。
• Debian 11 搭载的iptables 1.8.7默认使用nftables后端，你执行iptables -N TEST创建的自定义链实际存储在nftables子系统中，libiptc仅支持读取legacy模式的iptables数据，因此无法识别nft后端创建的自定义链。

验证方式 #

在Debian 11环境执行以下命令确认当前iptables模式：

iptables -V

如果输出内容携带(nf_tables)后缀，说明当前为nftables后端；如果携带(legacy)后缀则为传统模式。
也可以执行以下命令查看系统可选的iptables实现：

update-alternatives --list iptables

解决方案 #

方案1：切换Debian 11的iptables为legacy模式 #

执行以下命令切换后端，适配现有libiptc代码逻辑：

update-alternatives --set iptables /usr/sbin/iptables-legacy
update-alternatives --set ip6tables /usr/sbin/ip6tables-legacy

切换完成后删除已创建的TEST链，重新创建后运行你的程序即可读取到自定义链。

方案2：适配nftables架构更换开发库 #

libiptc已经停止维护，仅支持传统iptables架构，如果要适配现在主流发行版默认的nftables架构，建议改用官方推荐的libnftnl+libmnl库操作链和规则，可兼容两种后端的iptables实现。

临时验证方案 #

你可以在Debian 11上直接用iptables-legacy -N TEST创建链，再运行现有程序，即可正常读取到TEST链，进一步验证根因判断正确。

内容的提问来源于stack exchange，提问作者Todor Petkov