nftables通过ip saddr @subnet_set+limit rate组合实现子网级限速，支持双栈与动态策略；需按顺序放置规则，先匹配具体子网再处理公网流量，并可结合ct count控制并发连接数。
用 nftables 实现不同子网的分布式流量限速，核心是结合 set、limit 和 ip saddr 匹配，再通过规则顺序控制优先级。它比 iptables 的 hashlimit 更简洁，且原生支持双栈（IPv4/IPv6）和动态策略。
按子网设置独立速率限制
nftables 本身不提供“每子网计数器”模块（如 iptables 的 hashlimit），但可通过 ip saddr @subnet_set + limit rate 组合实现等效效果。关键是把需要统一限速的子网预先加入一个命名 set：
- 先创建带超时的动态 IP 集合：
nft add set inet filter trusted_subnets { type ipv4_addr\; flags timeout\; } - 向集合中添加网段（自动转为地址范围）：
nft add element inet filter trusted_subnets { 10.10.0.0/16 timeout 24h }nft add element inet filter trusted_subnets { 192.168.5.0/24 timeout 24h } - 写限速规则（对匹配子网的流量单独限速）：
nft add rule inet filter input ip saddr @trusted_subnets tcp dport 80 limit rate 2000/hour counter accept - 对其他公网流量设更严策略：
nft add rule inet filter input tcp dport 80 limit rate 300/hour counter drop
注意：第二条规则必须放在第一条之后，否则会被提前匹配并丢弃——nftables 按顺序执行，越具体的规则越靠前。
用 counter + limit 实现每源IP基础限速
若需对每个源 IP 单独限速（类似 iptables -m hashlimit --hashlimit-mode srcip），可直接使用 limit 表达式配合 ip saddr：
nft add rule inet filter input ip saddr 192.168.1.0/24 tcp dport 80 limit rate 10/second burst 30 counter accept- 这条规则对整个 /24 子网内每个 IP 独立计数：任一 IP 每秒最多触发 10 次，突发允许 30 次
- burst 值建议设为 rate 的 2–3 倍，避免正常访问被误限
结合 conntrack 控制并发连接数
单纯限制请求频率防不了 SYN Flood 或慢速 CC，建议叠加连接数控制：
- 限制每个 /24 子网同时建立的新连接不超过 50 个：
nft add rule inet filter input tcp flags & (fin | syn | rst | ack) == syn ct state new ip saddr 0.0.0.0/0 limit rate 50/minute burst 100 counter drop - 更精准做法是搭配 ct count（需内核 ≥ 5.10）：
nft add rule inet filter input ip saddr 192.168.0.0/16 ct count over 50 drop - 该规则实时统计当前已建立连接中来自该子网的数量，超限即丢弃新连接请求
规则持久化与调试技巧
nftables 规则默认不保存，重启即失效：
- 导出当前规则到配置文件：
nft list ruleset > /etc/nftables.conf - 启用 systemd 服务自动加载：
systemctl enable nftables - 调试阶段加
log prefix "SUBNET-LIMIT:"查看命中情况 - 用
nft monitor trace实时跟踪某 IP 流量匹配路径（需开启 trace flag）
