从 iptables 迁移到 nftables

适用场景

新系统或需要原子规则更新、集合匹配和更好性能时，从 iptables 迁移到 nftables。Docker/Kubernetes/fail2ban 等动态写规则的组件要单独评估。

前置条件

• 确认内核支持 nftables，且发行版提供 nft。
• 导出当前 iptables 规则和计数器。
• 确认防火墙管理工具（firewalld/ufw）的后端。
• 准备测试机和回滚窗口。

步骤

1. 导出旧规则：

iptables-save > /root/iptables-backup.rules
ip6tables-save > /root/ip6tables-backup.rules
iptables --version

2. 翻译规则：

iptables-translate -A INPUT -p tcp --dport 22 -j ACCEPT
iptables-translate -t nat -A POSTROUTING -o eth0 -j MASQUERADE

3. 编写 /etc/nftables.conf：

table inet filter {
  chain input {
    type filter hook input priority 0; policy drop;
    ct state established,related accept
    iif lo accept
    tcp dport 22 accept
    tcp dport { 80, 443 } accept
    icmp type echo-request accept
  }
  chain forward { type filter hook forward priority 0; policy drop; }
  chain output { type filter hook output priority 0; policy accept; }
}

4. 在测试机验证：

nft -c -f /etc/nftables.conf
nft -f /etc/nftables.conf
nft list ruleset

5. 生产切换：

systemctl enable --now nftables
nft -f /etc/nftables.conf

确认 SSH/业务端口仍可用后，再清理旧 iptables 规则。

验证

• nft list ruleset 与预期一致。
• SSH、HTTP/HTTPS、DNS/NAT 等关键路径连通。
• 计数器增长正常，日志无丢包异常。
• 重启后规则自动加载。

回滚

• 保留 iptables-backup.rules 和旧服务配置。
• nft flush ruleset 清空 nft 规则。
• 用 iptables-restore 恢复旧规则，重新启用 iptables 服务。

常见坑

• iptables-nft 和 iptables-legacy 是两套后端；先确认当前实际使用哪套。
• Docker/K8s 会动态写规则，迁移前确认其 nftables 支持。
• NAT、连接跟踪和规则顺序要逐条验证。
• nft 的集合和 map 语法与 iptables 不同，不要只做字符串替换。
• 先配置好 SSH 放行，避免把自己锁在外面。

相关命令

• nft — nftables
• iptables — 旧规则
• iptables-translate — 规则翻译
• tcpdump — 验证连通性