添加NAT规则后部分iptables规则消失，求助排查原因

首先，最常见的罪魁祸首是你添加的那条NAT规则存在语法错误——当iptables-persistent加载/etc/iptables/rules.v4文件时，如果遇到一条无效规则，它会直接停止处理后续所有规则，这就完美解释了为什么三分之二的规则没出现在iptables -S的输出里。

接下来给你拆解排查和修复的步骤：

• 先手动加载规则文件，直接揪出错误：

  sudo iptables-restore < /etc/iptables/rules.v4
  

  这条命令会直接输出加载过程中的报错信息，比如缺参数、链名写错、目标地址格式不对之类的。比如很多人写NAT规则时会忘记指定-t nat表（NAT规则默认不在filter表中），或者--to-destination的IP/端口格式有误，都会触发加载中断。
• 检查你添加的NAT规则：确保语法完全合规。举个正确的端口转发NAT规则例子：

  -A PREROUTING -t nat -i eth0 -p tcp --dport 80 -j DNAT --to-destination 192.168.1.100:8080
  

  重点是必须加上-t nat指定表，否则规则根本不属于NAT链。
• 关于fail2ban的影响：它确实会创建自己的iptables链（比如f2b-sshd），但一般不会直接删除你的原有规则——除非你的规则和fail2ban的链逻辑冲突，或者你在fail2ban配置里刻意设置了覆盖规则，但这种情况很少见，当前问题大概率还是规则文件的语法问题。

至于那些没显示的规则？它们根本就没被加载进内核的iptables规则集里，还好好躺在/etc/iptables/rules.v4文件里，只是因为前面的错误规则导致加载流程中断，后面的规则没被读取而已。

修复起来很简单：

1. 用iptables-restore命令定位并修正那条错误的NAT规则。
2. 重新加载规则：sudo systemctl restart netfilter-persistent（部分发行版是iptables-persistent）。
3. 再用iptables -S验证所有规则是否都成功加载。

内容的提问来源于stack exchange，提问作者Brandon Lebedev