求助：排查iptables未知规则自动添加问题并阻止其生成

遇到这种iptables规则被莫名自动添加的情况确实挺闹心的，我来给你梳理几个实用的排查思路，帮你揪出背后的“黑手”，并彻底解决问题：

• 追踪修改iptables的进程
  最直接的方法是用auditd工具监控iptables的操作。如果系统没装auditd，先通过包管理器安装（比如Debian系用apt install auditd，RHEL系用yum install auditd）。然后添加监控规则：

  # 监控iptables命令的执行
  auditctl -w /sbin/iptables -p x
  # 监控iptables规则配置文件的写入操作（根据你的系统路径调整）
  auditctl -w /etc/sysconfig/iptables -p wa
  

  等未知规则再次出现后，查看审计日志：

  ausearch -f /sbin/iptables
  

  日志里会明确显示哪个进程、哪个用户调用了iptables修改规则。另外也可以用ps aux | grep iptables实时查看有没有相关进程在运行，或者用lsof -i排查和网络规则相关的异常进程。

• 检查定时任务
  有些规则是通过定时脚本自动添加的，你需要排查所有定时任务：

  • 查看当前用户的定时任务：crontab -l
  • 查看系统级定时任务：cat /etc/crontab
  • 检查定时任务目录：ls -la /etc/cron.d/ /etc/cron.hourly/ /etc/cron.daily/，逐一查看里面的脚本内容，有没有涉及iptables规则添加的逻辑。

• 排查系统服务
  很多防火墙管理工具或网络服务会自动维护iptables规则，比如firewalld、ufw，甚至Docker这类容器服务也会自动生成规则。你可以：

  • 查看所有启用的服务：systemctl list-unit-files | grep enabled，找有没有不知名的、和网络/安全相关的异常服务
  • 查看firewalld日志（如果启用的话）：journalctl -u firewalld，看有没有自动修改规则的记录
  • 检查容器状态：docker ps，如果有容器在运行，Docker的iptables规则通常会带有DOCKER前缀的链，可以对比你遇到的规则判断是否相关

• 分析规则特征定位程序
  你提供的规则里用到了NFQUEUE，这个模块通常和流量拦截、代理、深度包检测类程序相关（比如某些VPN客户端、广告拦截工具，甚至恶意程序）。你可以直接搜索系统内和NFQUEUE相关的进程：

  ps aux | grep nfqueue
  

  找到对应的进程后，进一步排查它的启动方式和配置文件。

解决办法 #

一旦定位到根源：

• 如果是系统服务，先停止服务：systemctl stop [服务名]，再禁用开机启动：systemctl disable [服务名]
• 如果是定时任务，直接删除对应的定时条目或脚本
• 如果是恶意程序，建议用系统杀毒工具扫描，手动删除相关执行文件和配置

临时应急的话，可以给iptables规则文件加不可修改属性（比如chattr +i /etc/iptables/rules.v4），但这只是权宜之计，一定要找到根源彻底解决。

备注：内容来源于stack exchange，提问作者vanja109