我怎样才能以编程的方式即时管理iptables规则？

根据我的理解（尽管似乎没有参考资料提到）， iptables-restore 是原子性的。最后，当 COMMIT 行被读取时， iptables 调用 libiptc 中的 iptc_commit （在一个内部接口中你不应该使用），然后它用你的新规则集调用 setsockopt(SO_SET_REPLACE) 。

这听起来就像你能得到的那样原子化：用一个内核调用。然而，请更多的知识分子对此提出异议。）

To be even more specific 操作 "仅 "在每个CPU上是原子的。由于我们在每个CPU上存储整个规则集blob（由于缓存优化）。

故意没有API来管理这些规则。你不应该想这样做。或者别的什么。

如果你需要足够动态的规则，你关心执行/sbin/iptables的性能，还有其他方法可以做到。

今天早上，我醒来时发现我受到了来自俄罗斯的拒绝服务（DOS）攻击。他们从几十个IP区块中攻击我。他们肯定有一个很大的IP池，或者有某种代理列表/服务。 每当我封锁一个IP时，就会有另一个IP冒出来。 最后，我找了一个脚本，发现我需要自己写一个解决方案。 下面的内容有点激进，但他们把我的最高负载水平提高到200以上。

这是我写的一个快速脚本，用于实时阻止DOS。

cat  **"output of the logs"** | php ipchains.php **"something unique in the logs"**
==> PHP Script:
$ip_arr = array();
while(1)
   $line = trim(fgets(STDIN)); // reads one line from STDIN
   $ip = trim( strtok( $line, " ") );
   if( !array_key_exists( $ip, $ip_arr ) )
      $ip_arr[$ip] = 0;
   $regex = sprintf( "/%s/", $argv[1] );
   $cnt = preg_match_all( $regex, $line );
   if( $cnt < 1 ) continue;
   $ip_arr[$ip] += 1;
   if( $ip_arr[$ip] == 1  )
//     printf( "%s\n", $argv[1] );
//     printf( "%d\n", $cnt );
//     printf( "%s\n", $line );
       printf( "-A BLOCK1 -s %s/24 -j DROP\n", $ip );
       $cmd = sprintf( "/sbin/iptables  -I BLOCK1  -d %s/24 -j DROP", $ip );
       system( $cmd );
1) BLOCK1 is a Chain already created. 
2) BLOCK1 is a Chain that is run/called from the INPUT CHAIN 
3) Periodically you will need to run "ipchains -S BLOCK1" and put output in /etc/sysconfig file. 
4) You are familiar with PHP 
5) You understand web log line items/fields and output.