引言在网络安全体系中，防火墙是服务器安全的第一道防线。无论你运维的是一台 Web 服务器、数据库实例，还是邮件网关，防火墙都承担着"守门人"的角色——决定哪些数据包可以通过，哪些必须拒之门外。在 Linux 世界里，防火墙的核心实现方式是包过滤（Packet Filtering）。简单来说，包过滤是内核的一部分功能，它会分析所有经过网络接口的 IP 数据包，并根据预先定义的规则决定如何处理这些包：是允许通过、转发到其他接口，还是直接丢弃。这套机制看似简单，却是整个 Linux 网络安全架构的基石。而 nftables，正是当前 Linux 包过滤防火墙的主角。它取代了统治 Linux 防火墙领域十余年的 Netfilter/iptables，成为 RHEL 9、Ubuntu 22.04 等主流发行版的默认防火墙框架。本文将从基本原理讲起，带你系统掌握 nftables 的核心概念与规则编写方法。从 Netfilter 到 nftables 的演进回顾 Linux 防火墙的历史，Netfilter 系统及其配套的iptables命令统治了大约 15 年的时间。在这个时期，几乎所有的 Linux 防火墙配置、教程和自动化脚本都围绕iptables构建，它成为了事实上的标准。然而，随着网络环境日益复杂，Netfilter 的一些基础性缺陷逐渐暴露出来。为了解决这些问题，nftables 的开发早在 2008 年就已启动。经过十余年的打磨，nftables 在以下方面实现了显著改进：–