在Debian系统中配置防火墙后，重启或服务重载时规则丢失，这是因为默认规则仅保存在内存中。要让规则持久化存储，必须将配置保存到文件中，并确保防火墙服务在启动时自动加载。本文将详细介绍使用iptables-persistent、nftables以及自定义systemd服务三种方法，并深入分析各自适用场景和注意事项。

理解防火墙规则持久化的核心机制

Debian系统防火墙规则通过内核netfilter框架执行，但内核本身不存储规则。用户空间工具如iptables或nft设置的规则仅作用于运行时内存。持久化的本质是将规则文本保存到/etc目录下的配置文件，并创建一个系统服务在启动时读取这些文件、将规则重新注入内核。关键在于选择正确的工具链和确保保存与加载的流程可靠。

方法一：使用iptables-persistent工具（传统iptables方案）

对于仍在使用传统iptables的Debian系统（特别是旧版本或特定环境），iptables-persistent是最直接的工具。它通过两个配置文件/etc/iptables/rules.v4（IPv4规则）和/etc/iptables/rules.v6（IPv6规则）进行管理。首先安装软件包：

sudo apt update
sudo apt install iptables-persistent

安装过程中，安装程序会提示是否将当前运行的iptables规则保存到上述文件中，可选择“是”立即保存。若后续修改了规则，需手动保存。保存IPv4规则的命令是：

sudo iptables-save > /etc/iptables/rules.v4

保存IPv6规则则使用ip6tables-save命令。要验证配置，可重启系统或重启netfilter-persistent服务：

sudo systemctl restart netfilter-persistent

此方法的优点是简单、自动化程度高。但需注意，它仅适用于iptables规则。如果系统中同时存在iptables和nftables，可能产生冲突。

方法二：配置nftables实现原生持久化（现代推荐方案）

从Debian 10 Buster开始，nftables已逐渐取代iptables成为默认的防火墙框架。nftables本身设计就包含持久化支持，规则集可直接写入/etc/nftables.conf配置文件。首先检查并安装nftables：

sudo apt install nftables

使用nft命令配置规则后，可以将当前规则集导出并保存到配置文件：

sudo nft list ruleset > /etc/nftables.conf

为确保启动时加载，需启用nftables服务：

sudo systemctl enable nftables
sudo systemctl start nftables

任何规则更改后，都需要重新运行保存命令并重启服务。nftables的配置文件语法更简洁，且支持集合和映射等高级功能，性能也更好。建议新部署的Debian系统优先采用此方案。

方法三：创建自定义systemd服务（灵活控制方案）

对于需要高度定制化或混合环境，可以创建自己的systemd服务来加载规则。此方法不依赖特定工具，直接使用iptables-restore或nft -f命令加载预先保存的规则文件。首先，将规则保存到自定义位置，例如/etc/firewall.rules：

sudo iptables-save > /etc/firewall.rules

然后创建systemd服务文件/etc/systemd/system/firewall.service：

[Unit]
Description=Firewall Rules Loader
After=network.target
Wants=network.target

[Service]
Type=oneshot
RemainAfterExit=yes
ExecStart=/sbin/iptables-restore < /etc/firewall.rules
ExecReload=/sbin/iptables-restore < /etc/firewall.rules

[Install]
WantedBy=multi-user.target

启用并启动该服务：

sudo systemctl daemon-reload
sudo systemctl enable firewall
sudo systemctl start firewall

这种方法赋予管理员完全的控制权，可以整合复杂的预处理脚本或条件逻辑。但需要手动维护服务文件，增加了复杂性。

关键注意事项与故障排查

无论采用哪种方法，都必须注意规则加载的顺序和时机。防火墙服务必须在网络接口启动之后、网络服务启动之前加载，否则规则可能无法正确应用到网卡。使用“After=network.target”依赖关系是标准做法。若重启后规则未生效，首先检查服务状态：

sudo systemctl status netfilter-persistent
或
sudo systemctl status nftables

查看日志获取错误信息：

sudo journalctl -u nftables

其次，手动加载规则文件测试语法是否正确：

sudo nft -f /etc/nftables.conf
或
sudo iptables-restore < /etc/iptables/rules.v4

另外，注意避免多个防火墙管理工具同时运行导致规则冲突，例如不要同时启用iptables-persistent和ufw（Uncomplicated Firewall）。

进阶：在脚本和自动化部署中集成持久化

在自动化部署（如使用Ansible、Puppet或Shell脚本）时，应将防火墙规则配置和持久化步骤整合到配置管理中。最佳实践是：先通过脚本生成规则文件，然后将其部署到目标系统的/etc/目录，最后触发相应服务重载。例如，在Ansible任务中可包含：

- name: Deploy firewall rules
  copy:
    src: firewall.rules
    dest: /etc/iptables/rules.v4
  notify: reload firewall

- name: Enable persistent service
  systemd:
    name: netfilter-persistent
    enabled: yes
    state: started

这样确保每次部署的一致性。同时，建议在规则文件头部添加注释，说明每条规则的目的和日期，便于后续维护。

总结：根据系统环境选择最佳方案

对于纯粹的旧版Debian（9或更早）且习惯iptables语法的环境，iptables-persistent是稳妥选择。对于Debian 10及以上版本，或新项目，强烈建议迁移到nftables并利用其原生持久化机制，这是未来的方向。在复杂生产环境或需要与现有运维工具链深度集成时，自定义systemd服务提供了最大的灵活性。无论选择哪种，核心原则是：测试保存的规则文件能正确加载，并验证服务能开机自动运行。定期检查规则文件备份，避免配置丢失。