nft

nftables 命令行工具，iptables 的现代替代

补充说明

nft 管理 nftables 的表、链、规则、集合和 NAT。相比 iptables，它把 IPv4/IPv6 统一到 inet family，规则语法更一致。

常用示例

nft list ruleset
nft add table inet filter
nft add chain inet filter input '{ type filter hook input priority 0; policy drop; }'
nft add rule inet filter input tcp dport 22 accept
nft -f /etc/nftables.conf

易错点与排错

• nft flush ruleset 会清空所有规则，远程操作可能立即断网；先确认带外访问。
• 直接设 policy drop 前先放行 SSH；否则会锁死。
• iptables-nft 兼容层和原生 nft 规则可能混在一起；排查时统一看 nft list ruleset。
• 规则顺序和 chain priority 决定匹配；不要只看添加顺序。
• 规则默认不持久化；保存到 /etc/nftables.conf 并启用服务。
• 集合/set 适合大量 IP/端口；不要写几千条线性规则。
• nft -c -f 可以只检查配置；改之前先 dry-run。