我正在使用的环境是一个大型的networking托pipe操作（pipe理几百个服务器，几乎所有的公共地址等等 – 所以谈论pipe理ADSL链接的任何事情都不太可能奏效），而且，重新寻找可以轻松pipe理核心规则集（当前计数的iptables中大约12,000个条目）以及我们为客户pipe理的基于主机的规则集。 我们的核心路由器规则集每天更改几次，基于主机的规则集每月可能会更改50次（在所有服务器上，所以每五台服务器每月可能会更改一次）。
我们目前使用的是filtergen（通常是球，在我们的规模上是超级球），而且我在其他工作中使用过shorewall（这对于filtergen来说更好一些，但是我认为有必要在那里比那更好）。
我们为任何替代系统提出的“必须”是：
任何不符合所有这些标准的将不被考虑。 以下是我们的“很高兴”：
如果你也许想从一个规则驱动的方法转向一个“描述最终状态”的做法，请看fwbuilder。
优点：
缺点：
链接： http : //www.fwbuilder.org
写你自己的。 认真 – 在这个规模是合理的。
使用ipset和/或大量的iptable表/子表。 只要有可能只重新加载一些子表/一些ipset – 这将加快重新configuration。
可能你已经这样做了，但仍然值得一提 – 使用嵌套表来减less路由器的负载，以及build立新连接的数据包所需的平均查找次数。 显然 – 前进-m状态 – 状态ESTABLISHED，RELATED是你最高的规则。
神圣的球（keepin'主题活着！）人… 12,000核心规则？
我假设你已经考虑过所有简单的选项，比如简单地将这些集合放入CVS中？ 木偶还是CFengine？
老实说，从你给出的广泛的概述，我强烈build议重新评估你的networkingdevise。 我可能有点太简单了，但是我根本无法想象一个需要12k iptables规则的devise。 这听起来像是从SLBtypes的解决scheme中获益更多，而不是pipe理防火墙规则的更好方法。
在旁注中，如何添加评论与添加“答案”？
12000条规则？ 你疯了？ 这个数量的过滤是否会遇到性能问题？ 我看不出为什么你需要12000条规则？ 你如何validation你的规则集是实际执行的政策？
什么政策？
你如何testing你的政策？
12000条规则可能会违反书中的每条安全规则。
你也可以尝试SAAS解决scheme来pipe理iptables – > https://www.efw.io/Forum它也可以做AWS云集成。