凌晨三点，安全组丢过来一张截图：某台公网服务器被同一个 C 段的两万多个 IP 轮番扫描。你打开终端，iptables -A INPUT -s 1.2.3.4 -j DROP 一条条往下敲？两万条敲到天亮不说，规则一旦堆起来，包转发性能直接掉一半。

这不是段子。iptables 本身没毛病，是"用单条规则堆黑名单"这个姿势错了。今天就聊聊怎么用 ipset 把这件事一次干掉。

iptables 为什么规则一多就卡

iptables 的规则是线性匹配的。你写一万条 DROP，内核就得按顺序遍历，数据包命中最后一条之前要匹配上万次。规则越多，延迟越高，CPU 越烫。

更尴尬的是，-A 是往链尾追加，每加一条都是 O(n)。脚本批量刷的时候，跑得比人还慢。

ipset 是什么，凭什么快

ipset 是内核里的哈希表。把一堆 IP 塞进一个集合，iptables 只写一条规则引用这个集合，匹配走哈希查找，O(1)。

# 建集合，带超时时间方便自动过期 ipset create blacklist hash:net timeout 3600 
iptables 只加一条规则引用集合
 iptables -I INPUT -m set --match-set blacklist src -j DROP

两万条规则变成一条，转发性能几乎不受影响。

实战：批量导入两万个 IP

ipset create blacklist hash:net timeout 86400 
从文件一次性灌进去，每行一个 IP 或网段
 ipset restore < blacklist.txt

blacklist.txt 里直接写： 

add blacklist 1.2.3.0/24 add blacklist 5.6.7.8

一行一个，ipset restore 十万条也就几秒，比 for 循环 iptables -A 快几十倍。用 hash:net 还能一条吃掉一整个 C 段。

踩坑实录：重启之后全没了

第一次上 ipset 我就栽了。配置完跑得好好的，服务器一重启，集合空了，黑名单全放行。

根因：ipset 默认不存盘，只活在内存里。必须显式保存并在开机时恢复：

ipset save > /etc/ipset.conf 
开机加载
 echo "ipset restore < /etc/ipset.conf" >> /etc/rc.local

Debian/Ubuntu 更规范的做法是装 ipset-persistent，然后配合 /etc/iptables/rules.v4 自动恢复，省去手写启动脚本。

动态维护：超时自动解封

黑名单最烦的是"封了忘了解"。ipset 的 timeout 就是干这个的：

# 封一个 IP，1 小时后自动解封 ipset add blacklist 9.9.9.9 timeout 3600 
立即解封
 ipset del blacklist 9.9.9.9 
看集合里有哪些，剩余多久
 ipset list blacklist

配合一个读 auth.log 的定时脚本，把失败 IP 灌进集合，就是一套轻量版自动封禁，自由度比 fail2ban 高，还不依赖 Python。

总结

• 黑名单超过几百条就该上 ipset，别硬堆 iptables 规则
• hash:net
   支持网段，一个 C 段一条就够
• timeout 是灵魂，自动过期省去手动解封
• 千万记得存盘，重启不丢

你现在服务器上的 DROP 规则有多少条？跑一下 iptables -L INPUT -n | wc -l，要是超过 200，真该换 ipset 了。

标签： #iptables #ipset #防火墙 #网络安全 #Linux运维 #运维实战 

阅读原文：点击这里​