nftables 防火墙的详细使用示例，涵盖基础规则配置、NAT、端口转发、访问控制等核心操作：

二、nftables 防火墙 (现代替代工具)

1. 基础规则管理

查看规则集

nft list ruleset            # 显示所有规则

清除规则

nft flush ruleset           # 清空所有规则

2. 创建表与链

# 创建 filter 表和 input/output 链
nft add table inet filter
nft add chain inet filter input { type filter hook input priority 0 \; policy drop \; }
nft add chain inet filter output { type filter hook output priority 0 \; policy accept \; }

3. 定义规则

允许特定流量

# 允许 SSH（链式语法）
nft add rule inet filter input tcp dport 22 ct state new,established accept

# 允许来自特定 IP 的 HTTP
nft add rule inet filter input ip saddr 192.168.1.100 tcp dport 80 accept

# 允许环回接口流量
nft add rule inet filter input iif "lo" accept

阻止流量

# 阻止 ICMP（按协议）
nft add rule inet filter input meta l4proto icmp drop

# 阻止 IP 范围
nft add rule inet filter input ip saddr 10.0.0.0/24 drop

4. NAT 与端口转发

共享网络（MASQUERADE）

nft add table nat
nft add chain nat postrouting { type nat hook postrouting priority 100 \; }
nft add rule nat postrouting oif eth0 masquerade

端口转发（DNAT）

nft add chain nat prerouting { type nat hook prerouting priority -100 \; }
nft add rule nat prerouting iif eth0 tcp dport 8080 dnat to 192.168.1.10:80
nft add rule inet filter forward ip daddr 192.168.1.10 tcp dport 80 accept

5. 规则持久化

# 备份当前规则
nft list ruleset > /etc/nftables.conf

# 开机自动加载
systemctl enable nftables