Linux怎么配置NFTables防火墙 Linux下一代防火墙配置详解
nftables已取代iptables成为Linux默认防火墙。配置基础过滤表需四步：创建inet表、添加基链并设默认拒绝策略、放行回环接口、允许已建连接。常见问题包括SSH规则因顺序或地址簇选择不当而失效，建议明确限定新连接。规则持久化需导出至/etc/nftables.conf并启用系统服务。调试时可使用counter计数器或log日志来验证规则命中情况
提到Linux防火墙，现在绕不开nft了。它已经取代iptables，成为主流发行版的默认选择。别被“下一代防火墙”这个名头唬住，它并非碘伏性的新事物，更像是把旧工具的逻辑彻底重构了一遍，变得更干净、更统一。对于新手来说，最快的学习路径不是啃完所有语法，而是直接动手配置，在操作中理解。
怎么快速建一个能用的 filter 表
大部分场景下，我们只需要管理入站流量，比如只开放SSH端口，其他一概拒绝。这时候，使用inet地址簇是最省心的选择，它能同时处理IPv4和IPv6，避免为两种协议写两套重复的规则。
搭建一个基础防火墙，四步就够了：
- 创建表：
nft add table inet filter - 添加基链：
nft add chain inet filter input { type filter hook input priority 0 \; policy drop \; }。这里有个细节要注意，末尾的反斜杠和分号是Shell环境下的转义要求。policy drop将默认策略设为拒绝，这是构建安全规则的最佳起点。 - 放行回环接口：
nft add rule inet filter input iifname "lo" accept - 允许已建立的连接：
nft add rule inet filter input ct state established,related accept（这里的ct是conntrack的缩写）
执行完这四条命令，运行nft list ruleset就能看到完整的规则结构了。不过，这时候SSH还连不上——因为还没有明确放行22端口，这一点和iptables的逻辑是一致的。
为什么 tcp dport 22 accept 有时不生效
一个常见的问题是：明明添加了SSH端口规则，连接却依然失败。nft list ruleset显示规则存在，ss -tlnp | grep :22也确认sshd服务在监听。问题往往出在细节上。
首先，tcp dport 22只匹配TCP协议。虽然极其罕见，但如果客户端的SYN包在传输过程中被某些中间设备修改了协议类型，或者规则中误用了ip protocol tcp这类冗余写法，都可能导致匹配失败。
其次，规则的位置至关重要。nft会按照链内的顺序逐条匹配。如果把一条类似ct state invalid drop的兜底规则放在了SSH规则前面，那么新的连接请求会在匹配到SSH规则之前就被丢弃。
最后，地址簇的选择是个隐形陷阱。如果只在ip（仅IPv4）表里添加规则，而客户端实际通过IPv6连接，规则自然就失效了。这也是为什么一开始就推荐使用inet表。
一个更稳妥的写法是：nft add rule inet filter input tcp dport 22 ct state new accept。它明确限定只放行新连接（SYN包），既精准，又提升了安全性。
nft 规则重启后丢失怎么办
通过命令行添加的规则只存在于内存中，系统重启就会消失。实现持久化，标准路径其实很清晰：
- 导出规则到文件：
nft list ruleset > /etc/nftables.conf - 启用系统服务：
systemctl enable nftables。这里需要注意，像RHEL 8+或AlmaLinux这类发行版可能默认已启用，而Debian或Ubuntu则需要先手动安装nftables软件包，再启用服务。 - 检查服务配置：运行
systemctl status nftables，确认“Loaded”一行指向的配置文件路径是/etc/nftables.conf。
记住，不要画蛇添足地使用rc.local或自定义脚本去重新加载规则。nftables服务本身就会在启动时读取/etc/nftables.conf文件并载入规则，额外操作反而容易引入错误。另外，/etc/sysconfig/nftables.conf是旧版RHEL/CentOS 7使用的路径，新版本系统已经统一到了/etc/nftables.conf。
日志和调试最实用的三招
当规则不按预期工作时，光查看nft list的输出可能不够，我们需要确认数据包是否真的“走”到了那条规则。下面三个方法非常实用：
- 使用
counter计数器：在规则后加上counter，例如nft add rule inet filter input tcp dport 22 counter accept。之后通过nft list chain inet filter input查看pktcnt（包计数）和bytecnt（字节计数）是否增长，就能直观判断规则是否被命中。 - 添加
log日志记录：使用nft add rule inet filter input tcp dport 22 log prefix "SSH-ATTEMPT: " counter accept。这样匹配的包会被记录到内核日志，通过journalctl -k | grep "SSH-ATTEMPT"命令可以实时观察连接尝试。 - 结合
tcpdump验证：用tcpdump -i any port 22 and host来确认数据包是否真的到达了本机。再对比nft计数器的数据，就能分辨问题是包被丢弃了，还是根本没匹配上规则。
这里有个关键点：log语句本身不会终止规则的执行，所以它后面必须显式地跟上accept或drop动作。否则，数据包会继续向下匹配，可能被后续的规则意外处理。
说到底，配置nft真正的难点往往不在语法本身，而在于规则顺序、地址簇选择这些设计逻辑，以及忘记了counter和log这两个强大的调试工具。养成一个好习惯：每写完一条关键规则，立刻挂上一个counter验证其是否被命中，这比反复猜测失败原因要高效得多。
正软商城本月促销专区，汇集办公、设计、安全、影音、系统工具及AI软件等正版软件优惠活动，提供限时折扣、特价授权和优惠购买信息，活动库存及价格以页面实时展示为准。
正软商城装机必备专区，精选办公、浏览器、安全防护、影音播放、压缩解压、设计创作和系统工具等电脑常用正版软件，帮助用户快速完成新电脑软件配置。
正软商城Windows软件专区，汇集适用于Windows电脑的办公、设计、安全防护、影音播放、开发工具和系统优化软件，提供软件介绍、系统要求、正版授权及购买下载服务。
正软商城macOS软件专区，精选适用于Mac电脑的办公、设计、影音、效率、开发和系统工具，提供软件功能介绍、macOS兼容版本、正版授权及购买下载服务。
正软商城iOS软件专区，精选适用于iPhone和iPad的办公、学习、影音、设计、效率及AI应用，提供功能介绍、适用设备、系统要求和正版获取方式等信息。
正软商城AI软件专区，汇集AI写作、AI绘画、AI视频、AI办公、AI编程、AI翻译、智能客服和数据分析等人工智能工具，提供功能介绍、适用平台、收费方式及正版购买信息。
正软商城PDF教程频道提供PDF编辑、转换、合并、拆分、压缩及格式处理方法，同时介绍常用PDF软件和工具的使用技巧。
赤友清理大师是一款为 Mac 设计的智能清理优化工具，可精准扫描垃圾、大文件、重复文件等，释放磁盘空间。做扫描整理、文字提取和表格转换时，它能把识别后的处理步骤接得更顺，资料录入这类场景会省下不少时间。
极度公式是一款跨平台专业LaTeX公式识别编辑软件，支持OCR公式识别和多平台编辑。和使用说明，避免使用，享受完整功能与稳定支持。做扫描整理、文字提取和表格转换时，它能把识别后的处理步骤接得更顺，资料录入这类场景会省下不少时间。
一款文字处理软件，一种订阅式的跨平台办公软件，基于云平台提供多种服务，通过将 Excel 和 Outlook 等应用与 OneDrive 和 Microsoft Teams 等强大的云服务相结合，Office 365 可让任何人使用任何设备随时随地创建和共享内容。
CodeExpander 是一款快捷短语输入增强工具，通过键入缩写自动展开为自定义文段，提升工作效率。任务管理和过程控制会更完整，持续下载、批量同步或需要稳定传输流程的场景会更适合它。
Mountain Duck 是一款能将多个网盘挂载到本地的工具，像本地磁盘一样使用网盘。清理链路的完整性会更好一些，做应用卸载、残留处理和空间整理时，通常能少走很多手动排查步骤。
极度公式是一款跨平台专业LaTeX公式识别编辑软件，支持OCR公式识别和多平台编辑。和使用说明，避免使用，享受完整功能与稳定支持。做扫描整理、文字提取和表格转换时，它能把识别后的处理步骤接得更顺，资料录入这类场景会省下不少时间。
一款文字处理软件，一种订阅式的跨平台办公软件，基于云平台提供多种服务，通过将 Excel 和 Outlook 等应用与 OneDrive 和 Microsoft Teams 等强大的云服务相结合，Office 365 可让任何人使用任何设备随时随地创建和共享内容。
Wise Folder Hider Pro 是一款专业级文件和文件夹隐藏加密软件，为私密数据添加多重保护。高频操作更强调就近处理，浏览、整理和跨目录移动文件时，来回切换和重复点击都会少很多。
CodeExpander 是一款快捷短语输入增强工具，通过键入缩写自动展开为自定义文段，提升工作效率。任务管理和过程控制会更完整，持续下载、批量同步或需要稳定传输流程的场景会更适合它。
Mountain Duck 是一款能将多个网盘挂载到本地的工具，像本地磁盘一样使用网盘。清理链路的完整性会更好一些，做应用卸载、残留处理和空间整理时，通常能少走很多手动排查步骤。
