iptables 与 nftables 的差异与迁移

结论先行

新系统优先用 nftables：统一规则模型、原子更新、更好的性能和可读性。存量 iptables 规则仍可通过 iptables-nft 兼容层运行，但新脚本不建议继续写 iptables。

核心差异

维度	iptables	nftables
规则模型	表/链/规则，工具分散	单一 `nft` 工具，表和链统一
更新方式	逐条替换，可能短暂不一致	事务式原子提交
性能	规则多时线性匹配	集合、映射和更高效匹配
NAT	iptables/nat 独立工具	`nft` 内建 NAT
持久化	发行版脚本/服务	`nft -f` 加载规则文件
兼容	广泛	新内核/新发行版默认

怎么选

新部署、需要集合匹配或原子更新：选 nftables。
依赖旧脚本、旧防火墙面板或厂商 agent：保留 iptables-nft，但要确认不是 legacy 后端。
使用 firewalld：它只是前端，后端可能是 nftables；不要同时手写 nft 和 firewalld 规则。

迁移注意

iptables-translate -A INPUT -p tcp --dport 22 -j ACCEPT
nft list ruleset
nft -f /etc/nftables.conf

iptables-nft 和 iptables-legacy 是两套后端；iptables --version 会显示实际使用的版本。
规则顺序、默认策略和计数器语义要逐条核对，不能只做语法翻译。
Docker、Kubernetes、fail2ban 等会动态写规则；迁移前确认它们的后端和兼容性。
NAT、连接跟踪和持久化规则要单独验证，避免重启后丢失。
先在测试机抓包验证，再切换生产。

相关命令

iptables — 传统防火墙
nft — nftables 客户端
firewalld — 防火墙前端
tcpdump — 验证规则效果