Linux实现动态黑名单同步需组合curl定时拉取、ipset批量加载与flock防并发，通过校验checksum、fallback缓存及原子切换保障毫秒级防护不中断。
Linux 本身没有“动态黑名单同步任务”这个标准概念——它不是内核或 systemd 的原生功能，而是多个机制组合实现的工程需求：比如实时同步远程 IP 黑名单到本地 iptables 或 ipset，并自动 reload 规则。核心在于「动态」（定时拉取 + 增量更新）和「同步」（落地生效），不是简单写死一条规则。
怎么让黑名单文件自动从远程更新？
用 curl 或 wget 定期拉取，配合 crontab 最直接：
- 假设黑名单源是 HTTP 接口：
https://api.example.com/blacklist.txt，每 5 分钟更新一次 - 本地存为
/etc/ip-blacklist.txt，并确保有写权限：chmod 644 /etc/ip-blacklist.txt - 在 root 的 crontab 里加一行：
*/5 * * * * curl -s https://api.example.com/blacklist.txt -o /etc/ip-blacklist.txt - 注意：不要用
root直接执行带-o的curl到系统目录，若目标路径被 SELinux 或 systemd 隔离，会静默失败；先测试命令能否手动跑通
如何把文本黑名单快速加载进 iptables？
逐行读取 + iptables -I INPUT -s $ip -j DROP 效率低、不可逆、易重复插入。推荐用 ipset：
- 先创建集合：
ipset create blacklist hash:ip hashsize 4096 - 清空旧数据：
ipset flush blacklist - 批量导入（要求文件每行一个 IP）：
while read ip; do [ -n "$ip" ] && ipset add blacklist "$ip" 2>/dev/null; done - 最后绑定到 iptables：
iptables -I INPUT -m set --match-set blacklist src -j DROP（这条只需执行一次，后续只更新 ipset） - 关键点：ipset 支持原子更新，不会导致网络抖动；而直接操作 iptables 规则链，频繁增删会触发全表重载，可能丢包
为什么 reload 后规则不生效或丢失？
常见三个断点：
-
ipset默认不持久化：重启后集合消失。必须保存：ipset save blacklist > /etc/ipset-blacklist.save，并在开机时ipset restore （可写进 <code>/etc/rc.local或 systemd service） -
iptables规则不持久：CentOS/RHEL 用iptables-save > /etc/sysconfig/iptables；Debian/Ubuntu 用iptables-persistent工具，否则 reboot 后规则清空 - 脚本中没加锁：多个 cron 并发执行，可能导致
ipset flush和ipset add交错，出现短暂放行窗口。加个flock包裹更稳妥：flock -x /tmp/ipset.lock -c 'bash /usr/local/bin/update-blacklist.sh'
怎样验证黑名单真的在拦截？
别只看规则是否存在，要测行为：
- 查当前生效 IP 数：
ipset list blacklist | grep "Members:" - 模拟攻击 IP 访问：
curl -x socks5h://127.0.0.1:1080 http://target-site.com（换任意已知黑名单里的 IP 做源地址，需配合iptables -t raw -A PREROUTING -s $ip -j TRACE或tcpdump -i any host $ip抓包确认 DROP 走向） - 检查日志是否记录：
grep "IN=.*SRC=1.2.3.4" /var/log/messages（前提是iptables -j LOG开了前置日志） - 最简验证法：
iptables -L INPUT -v -n | grep DROP看对应 chain 的 packet 计数是否增长
真正难的不是写脚本，而是处理「增量更新」和「原子切换」：你不能删光再重建整个黑名单集合，否则毫秒级窗口会被绕过；也不能依赖单次 HTTP 拉取就认为数据完整——得校验 checksum、容忍 404/超时、做本地 fallback 缓存。这些细节不显眼，但线上扛不住扫描洪峰。
