2016年12月 – Prin Ice

使用iptables-persistent自动加载iptables规则 (Debian)

以前写过一个将脚本写入/etc/network/if–pre–up.d目录下来加载iptables规则的方法：开机自动加载iptables规则 (Debian)
但是有些主机商的系统并不能很好地支持这种方式，所以这次再写一篇用iptables-persistent来实现的方法。
值得注意的是，iptables-persistent不仅支持IPv4规则，也支持IPv6规则，功能非常全面，而且使用非常方便。下面重点讲讲如何进行配置，适用于Debian和Ubuntu。
首先配置好iptables规则，如有需要，同时配置好ip6tables规则。
然后安装iptables-persistent。

apt-get update
apt-get install iptables-persistent

安装过程中，交互安装程序会问你是否要导入已经配置的IPv4和IPv6规则，选是就直接导入生效了，非常方便。
那么以后如果要修改iptables或ip6tables的配置怎么办呢？其实也很简单，iptables-persistent的配置文件有两个，分别是/etc/iptables/rules.v4和/etc/iptables/rules.v6。
重新配置完iptables或ip6tables规则后执行以下命令就可以。

iptables-save > /etc/iptables/rules.v4
ip6tables-save > /etc/iptables/rules.v6

通过这种方法配置iptables更为简便和直观，更加推荐。

Linux Kernel 4.9中，增加了一种全新的TCP拥堵控制算法——BBR，拥有着非常优秀的性能，同时也保证了和其他TCP拥堵控制算法的相容性。BBR的目的是要尽量跑满带宽，并且尽量不要有排队的情况。
~~由于Linux Kernel 4.9还未正式发布，现阶段Debian要使用BBR，比较简单的方法只有通过experimental源来安装。~~
虽然Linux Kernel 4.9已经正式发布，但还在Debian的sid源，现阶段Debian要使用BBR，比较简单的方法只有通过sid源来安装。
~~首先在/etc/apt/sources.list中添加experimental源，用文本编辑器在文件最后添加以下内容。~~
首先在/etc/apt/sources.list中添加sid源，用文本编辑器在文件最后添加以下内容。

deb http://httpredir.debian.org/debian experimental main
deb http://httpredir.debian.org/debian sid main

~~需要注意的是，apt-get默认不会安装experimental源的包，所以，~~用以下命令安装。

apt-get update
apt-get -t experimental install linux-image-4.9.0-rc8-amd64-unsigned
apt-get install linux-image-4.9.0-1-amd64-unsigned

然后重启，默认就是使用新的内核，你也可以选择将老的内核删除。默认的TCP拥堵控制算法不是BBR，还要通过配置文件开启。
创建一个/etc/sysctl.d/local.conf文件，写入以下内容。

net.core.default_qdisc=fq
net.ipv4.tcp_congestion_control=bbr

然后输入以下命令使配置生效。

sysctl --system

再执行以下命令看下，如果结果里面有bbr说明已经成功开启。

sysctl net.ipv4.tcp_available_congestion_control

最后再输入以下命令，看到tcp_bbr模块就说明BBR已经启动。

lsmod | grep bbr

这样就搞定了，等Linux Kernel 4.9正式发布之后，开启就更简单了，Debian 9 (Stretch)正式版发布时应该会直接使用4.9或更新的内核，到时候直接开启就行。