遇到一个神奇的 iptables 问题，求解！

[hyuhui]

背景

1 、服务器为亚马逊的 aws lightsail ，今天新建的 2 、系统是 CentOS Linux release 7.9.2009 (Core) 3 、内核是 5.12.19-1.el7 4 、已安装 iptables-services ，iptables 的状态为运行中

问题

添加规则，service iptables save 保存，iptables -L 能看到规则，测试规则生效。

但是，只要断开 ssh ，或者 reboot 服务器，重新 ssh 进去，iptables -L 看到规则清零了，测试规则失效了。vi /etc/sysconfig/iptables 看到规则是在里面的，service iptables restart 后规则重新生效，iptables -L 也能重新看到规则了。

新建了几个实例也还是这样！我之前建的实例却不会出现这个情况。

哪位大神知道这是为什么？

今天尝试了一下，昨天建的实例，问题依旧，但是今天新建的实例已经没有问题了，估计是 AWS 自己的问题😓

感谢各位的热心回复！🙏

[defunct9]

开 ssh ，让我上去看看

[harde]

+1

[betteryjs]

加到 rc.local 试试？

[zhs227]

没禁用 firewalld?

[hyuhui]

@zhs227 firewalld 已禁用

systemctl stop firewalld.service

systemctl disable firewalld.service

[zhangsanfeng2012]

systemctl status iptables 是什么状态

[hyuhui]

@zhangsanfeng2012

● iptables.service - IPv4 firewall with iptables
Loaded: loaded (/usr/lib/systemd/system/iptables.service; enabled; vendor preset: disabled)
Active: active (exited) since Mon 2021-11-15 19:09:08 CST; 44min ago
Process: 15421 ExecStop=/usr/libexec/iptables/iptables.init stop (code=exited, status=0/SUCCESS)
Process: 15450 ExecStart=/usr/libexec/iptables/iptables.init start (code=exited, status=0/SUCCESS)
Main PID: 15450 (code=exited, status=0/SUCCESS)

Nov 15 19:09:08 ip.ap-northeast-1.compute.internal systemd[1]: Stopped IPv4 firewall...
Nov 15 19:09:08 ip.ap-northeast-1.compute.internal systemd[1]: Starting IPv4 firewal...
Nov 15 19:09:08 ip.ap-northeast-1.compute.internal iptables.init[15450]: iptables: A...
Nov 15 19:09:08 ip.ap-northeast-1.compute.internal systemd[1]: Started IPv4 firewall...
Hint: Some lines were ellipsized, use -l to show in full.

[ik]

来两个终端，一个终端配了，另外一个终端能看到吗？

[hyuhui]

@ik 另一个终端，iptables -L 看不到，vi /etc/sysconfig/iptables 可以看到

[ik]

@hyuhui 神奇我也没遇到过😢

[adoal]

看看是不是 shell 的某个 rc 里 flush 了

[nijux]

aws lightsail 防火墙是不是要在网页后台设置啊，不用在服务器上设置

[onetown]

iptables-persistent 服务
另外 aws 上的安全组不是挺好用的吗

[skiy]

我总是记不住这个。是不是用 iptables-save 来保存？

https://access.redhat.com/documentation/en-us/red_hat_enterprise_linux/6/html/security_guide/sect-security_guide-iptables-saving_iptables_rules

https://www.man7.org/linux/man-pages/man8/iptables-save.8.html

[ihipop]

centos7 哪来的原装 5.x 内核

[yanqiyu]

iptables 不会平白无故消失，所以肯定是什么东西给他 flush 掉了，

加上 #9 说道“另一个终端，iptables -L 看不到”
要不试一试两种情况，一种是先开两个终端，一个设置 iptables ，一个随后 iptables -L 看；另一种是开一个设置 iptables ，然后开第二个 iptables -L 看。后者就说明登陆过程中有什么东西给它 flush 掉了，前者说明更玄学的事情发生了(无意间设置了 namespace 之类的)

既然“新建了几个实例也还是这样”并且这个问题没有被大规模报告。能不能细节的讲一下你在“新建了几个实例”之后进行的所有操作？

[Buges]

你既然是 systemd 的系统，为啥要用 service 呢。

systemctl show iptables.service 输出里面找到 iptables-restore 命令的参数就是保存持久化 iptables 规则的地方。

把你的 iptables 规则写到这个文件里，或者用 iptables-save 的输出保存到这个文件，然后 systemctl enable --now iptables.service;systemctl reload iptables.service 就可以了。

[TsukiMori]

lightsail 不直接在 web 管理配置防火墙就可以嘛

[holinhot]

AWS 自带防火墙网页管理。没有 VNC ，难道系统模版强刷了 iptables 防止你被锁在外面。

[hyuhui]

@yanqiyu 一种是先开两个终端，一个设置 iptables ，一个随后 iptables -L 看：这个通过 iptables -L 可以看到！

报告给亚马逊了，还没有回复。

试过 centos7 、centos8 、debian10 ，新建实例后只安装 iptables-services （ centos ）或者 iptables-persistent （ debian ），然后也会出现这个情况。

[julyclyde]

@Buges redhat 系用 service 没啥毛病。systemd 时代的 service 和 sysvinit 时代的 service 并不是同样内容的脚本；再说 iptables 也不是个正经 systemd service

[yanqiyu]

@hyuhui 那就说明登陆过程有啥东西 flush 了 iptables
要不试一试 https://unix.stackexchange.com/questions/206891/audit-on-changes-to-the-running-iptables-configuration 里面的方法设置 audit 规则追踪一下

[snuglove]

我都是使用 iptables-save >/etc/sysconfig/iptables 来保存,保存完了在重启 🤣🤣

[hyuhui]

报告各位

今天尝试了一下，昨天建的实例，问题依旧，但是今天新建的实例已经没有问题了，估计是 AWS 自己的问题😓

[Buges]

@julyclyde systemd 虽然有 sysvcompat 兼容以前的脚本，但没理由去用它啊，没有 /etc/init.d ，service 的啥行为都不知道。在我这里 iptables.service 是个正经的 oneshot systemd service ，rh 系统上还有啥区别吗？

[julyclyde]

@Buges centos8 里是 oneshot 吧。centos7 我记得应该是 sysv service

[SkyHive]

看看 bashrc 或者 /etc/profile 里有没有奇怪的东西 flush 你得 iptables