Linux 中不存在 iptables -m cpu 模块；多核均衡依赖网卡多队列、IRQ 亲和性、RPS/RFS 等内核机制，而非 iptables 规则直接指定 CPU。
Linux 中并不存在 iptables -m cpu 这个标准模块。当前内核（截至 2026 年）的 iptables 扩展中，没有名为 cpu 的匹配模块，也不支持通过 -m cpu 直接将规则匹配分发到指定 CPU 核心。
你提到的“iptables -m cpu 实现多核负载均衡”，很可能是混淆了几个不同层面的技术概念：
-
iptables本身是用户空间配置工具，用于向内核 netfilter 框架添加规则； - 规则匹配发生在内核协议栈路径中（如 PREROUTING、INPUT），但匹配动作本身由内核软中断（softirq）在某个 CPU 上串行/并发执行，并不由 iptables 规则直接指定运行在哪颗 CPU；
- 真正影响“多核分发效果”的，是底层网络收发路径的并行机制，而非 iptables 模块。
✅ 正确理解：iptables 规则如何在多核环境“被均衡执行”？
iptables 规则本身不调度 CPU，但其执行效率和并发性受以下机制影响：
1. 网卡多队列（Multi-Queue） + 中断亲和性（IRQ Affinity）
- 网卡硬件支持多个 RX/TX 队列时，每个队列可绑定到不同 CPU；
- 内核为每个 RX 队列触发独立 softirq（
NET_RX_SOFTIRQ），在对应 CPU 上处理数据包； - iptables 规则（如
PREROUTING中的 DNAT）就在该 softirq 上下文中被执行 → 自然实现多核并行匹配。
✅ 操作建议：
# 查看网卡队列数
ethtool -l eth0
# 将 RX 队列 0 绑定到 CPU 0，队列 1 绑定到 CPU 1...
echo 1 > /proc/irq/$(cat /sys/class/net/eth0/device/msi_irqs/*/name | grep rx | head -1 | awk '{print $1}')/smp_affinity_list
echo 2 > /proc/irq/$(cat /sys/class/net/eth0/device/msi_irqs/*/name | grep rx | sed -n '2p' | awk '{print $1}')/smp_affinity_list⚠️ 注意：需配合 RPS/RFS（见下文）在无多队列或虚拟化环境中补足。
2. RPS（Receive Packet Steering）——软件模拟多队列
当网卡不支持多队列（如某些 VM 或旧网卡），可用 RPS 在软件层把包分发到不同 CPU：
✅ 启用方式（以 eth0 为例）：
# 允许 CPU 0–3 处理 eth0 的 RX 流量（十六进制掩码 0xf = 1111b） echo f > /sys/class/net/eth0/queues/rx-0/rps_cpus # 设置流哈希表大小（提升流级局部性） echo 32768 > /sys/class/net/eth0/queues/rx-0/rps_flow_cnt
→ 启用后，iptables 在 PREROUTING 等链上的匹配，会随数据包被 RPS 分发到不同 CPU 而自动并行执行。
3. RFS（Receive Flow Steering）+ RIB（RPS Indirect Buffers）
进一步优化：让同一 TCP 流的包尽量送到刚处理过该流应用线程的 CPU，提升 cache 命中率，间接提升 iptables + 后续协议栈性能。
✅ 示例：
# 启用 RFS（需先启用 RPS） echo 32768 > /proc/sys/net/core/rps_sock_flow_entries echo 32768 > /sys/class/net/eth0/queues/rx-0/rps_flow_cnt
4. XPS（Transmit Packet Steering）
虽然不直接影响 iptables 匹配，但优化 POSTROUTING 后的发包路径，避免跨核锁竞争，整体提升吞吐。
✅ 示例：
echo f > /sys/class/net/eth0/queues/tx-0/xps_cpus
❌ 常见误区澄清
| 说法 | 是否正确 | 说明 |
|---|---|---|
iptables -m cpu --cpu 2 可指定规则只在 CPU 2 运行 |
❌ | 无此模块；iptables 不控制执行 CPU |
加更多 -j ACCEPT 规则能“分散 CPU 负载” |
❌ | 规则越多，单包匹配开销越大，反而降低性能 |
iptables 本身支持轮询分发连接 |
❌ | 这是 ipvs 或 statistic 模块做的事，不是防火墙匹配分发 |
? 补充：如果你真正想做的是「让不同连接走不同后端」或「按 CPU 哈希分发流量」，应使用：
iptables -m statistic --mode nth --every 2（轮询）iptables -t mangle -j CONNMARK --save-mark+ 策略路由（结合ip rule fwmark）- 更推荐：用
ipvsadm（LVS）或nftables+jhash实现四层哈希分发。
✅ 总结：想让 iptables 在多核上高效运行，重点做三件事
- 确认网卡开启多队列，并把各 RX 队列中断绑定到不同 CPU；
- 启用 RPS/RFS（尤其在虚拟机或单队列网卡场景）；
-
关闭反向路径过滤（rp_filter），避免因策略路由或 DNAT 导致误丢包：
echo 0 > /proc/sys/net/ipv4/conf/all/rp_filter echo 0 > /proc/sys/net/ipv4/conf/eth0/rp_filter
这些措施让 netfilter 规则天然获得多核并行执行能力，而不是靠某个虚构的 -m cpu 模块。
不复杂但容易忽略。
