解決 iptables 「Protocol wrong type for socket」錯誤：升級 iptables 版本

在 CentOS 6 上嘗試加入 connlimit 模組限制單 IP 連接數時，報錯 iptables: Protocol wrong type for socket.。根因是系統預設 iptables 1.4.7 版本過舊，核心模組不相容。本文記錄從源碼編譯升級至 1.4.19 的完整流程。

問題現場

# iptables -A INPUT -p tcp --syn --dport 80 -m connlimit --connlimit-above 100 -j REJECT
iptables: Protocol wrong type for socket.

# 確認版本
# iptables -V
iptables v1.4.7
# rpm -qa | grep iptables
iptables-1.4.7-9.el6.x86_64
iptables-ipv6-1.4.7-9.el6.x86_64

解決方案：源碼編譯升級

警告： 升級後無法再用 yum 管理 iptables，請確認環境允許。

1. 移除舊版 RPM（不檢查依賴）

rpm -e --nodeps iptables-1.4.7-9.el6.x86_64
rpm -e --nodeps iptables-ipv6-1.4.7-9.el6.x86_64

2. 安裝編譯工具鏈

yum groupinstall 'Development Tools'

3. 下載、編譯、安裝 iptables 1.4.19

wget https://www.netfilter.org/projects/iptables/files/iptables-1.4.19.tar.bz2
tar jxf iptables-1.4.19.tar.bz2
cd iptables-1.4.19

LDFLAGS="-L$PWD/libiptc/.libs" ./configure \
  --prefix=/usr \
  --exec-prefix= \
  --bindir=/usr/bin \
  --with-xtlibdir=/lib/xtables \
  --with-pkgconfigdir=/usr/lib/pkgconfig \
  --enable-libipq \
  --enable-devel

make && make install

4. 驗證升級與功能

# iptables -V
iptables v1.4.19

# 再次執行原失敗規則
# iptables -A INPUT -p tcp --syn --dport 80 -m connlimit --connlimit-above 100 -j REJECT
# iptables -L
Chain INPUT (policy ACCEPT)
REJECT tcp -- anywhere anywhere tcp dpt:http flags:FIN,SYN,RST,ACK/SYN #conn src/32 > 100 reject-with icmp-port-unreachable

規則生效，connlimit 模組正常工作。

替代方案（不升級 iptables）

• 使用 recent 模組限制連接頻率（不需 connlimit）：
  iptables -A INPUT -p tcp --dport 80 -m recent --name http_limit --set
iptables -A INPUT -p tcp --dport 80 -m recent --name http_limit --update --seconds 60 --hitcount 100 -j DROP
• 升級系統至 CentOS 7/8（內建 iptables 1.6+ / nftables），從根本解決版本老舊問題。

運維建議

• 生產環境優先考慮系統原生套件管理器提供的版本；
• 必須手動編譯時，將編譯參數、版本號記錄於 /usr/local/src/iptables-build.log 便於日後維護；
• 考慮遷移至 nftables（Linux 3.13+），為未來標準。

版本相容性是防火牆規則生效的基石，遇到模組報錯優先查核版本矩陣。