netfilter-exporter 镜像文档

概述

netfilter-exporter 是一款针对Linux netfilter/iptables框架的Prometheus指标导出工具，旨在通过标准化的Prometheus metrics格式，收集并暴露防火墙规则的匹配计数、网络流量（包/字节）统计等关键指标，帮助运维和安全团队实时监控防火墙运行状态、评估规则有效性及排查网络问题。

核心功能与特性

• 全面指标采集：支持收集iptables规则匹配次数、包计数、字节计数、规则状态等核心指标
• 多维度监控：覆盖IPv4/IPv6协议、主流iptables表（filter、nat、mangle等）及自定义链
• 轻量级设计：无依赖、低资源占用，适合边缘设备及资源受限环境
• 灵活配置：可通过参数指定监控的表、链及指标采集间隔
• 标准兼容性：输出符合Prometheus规范的metrics格式，无缝集成Grafana等可视化平台

使用场景

• Linux服务器防火墙性能监控与瓶颈分析
• 网络安全设备（如网关、路由器）流量统计与异常检测
• 防火墙规则有效性验证（如确认关键规则是否被命中）
• 基于指标的防火墙告警配置（如规则匹配突增、流量异常）
• 多节点防火墙集群状态统一监控

使用方法

快速启动（docker run）

bash
docker run -d \
  --name netfilter-exporter \
  --net=host \
  --cap-add=NET_ADMIN \
  -v /proc/net/ip_tables_names:/proc/net/ip_tables_names:ro \
  -v /sys/class/net:/sys/class/net:ro \
  -e LISTEN_PORT=9119 \
  -e METRICS_PATH=/metrics \
  -e TABLES="filter,nat" \
  prometheus/netfilter-exporter:latest

Docker Compose配置

yaml
version: '3'
services:
  netfilter-exporter:
    image: prometheus/netfilter-exporter:latest
    container_name: netfilter-exporter
    network_mode: host
    cap_add:
      - NET_ADMIN
    volumes:
      - /proc/net/ip_tables_names:/proc/net/ip_tables_names:ro
      - /sys/class/net:/sys/class/net:ro
    environment:
      - LISTEN_PORT=9119
      - METRICS_PATH=/metrics
      - TABLES=filter,nat,mangle
      - SCRAPE_INTERVAL=10s
    restart: unless-stopped

配置参数说明

访问指标

启动容器后，可通过 http://<主机IP>:<LISTEN_PORT>/<METRICS_PATH> 访问指标，例如：

http://localhost:9119/metrics

注意事项

• 需挂载宿主机 /proc/net/ip_tables_names 和 /sys/class/net 目录以获取netfilter/iptables信息
• NET_ADMIN 权限是采集部分高级指标的必要条件
• 支持的内核版本：Linux 3.10+（推荐4.4+以获取完整指标）
• IPv6监控需宿主机启用IPv6及对应iptables规则