如何利用Nftables元素自动过期机制实现具备自我消亡的防火墙-linux运维-PHP中文网

nftables 的 timeout 集合机制可实现规则元素自动过期，如黑名单 ip 或限速标记在指定时间后由内核自动删除，无需脚本干预或重启；创建时需声明 flags timeout，添加元素时指定 timeout 值，已存在则刷新剩余时间。

如何利用nftables元素自动过期机制实现具备自我消亡的防火墙

nftables 本身没有“自我消亡”这种拟人化能力，但它的 set 元素 timeout 机制，能让黑名单、限速标记、临时封禁等规则在指定时间后自动失效——不需脚本清理、不需人工干预、不依赖外部调度。这种“到期即删”的行为，就是最贴近“自我消亡”的实用实现。

nftables 原生支持带超时的命名集合（flags timeout），元素加入时可指定存活时长，超时后内核自动移除，无需重启或重载规则。

创建一个 IPv4 黑名单集合，所有元素默认 10 分钟后自动消失：
sudo nft add set ip filter tempban { type ipv4_addr; flags timeout; }
在 input 链开头插入匹配规则（越靠前优先级越高）：
sudo nft add rule ip filter input ip saddr @tempban drop
封禁某个 IP 并设定 30 分钟有效期（原子操作，毫秒级生效）：
sudo nft add element ip filter tempban { 203.0.113.45 timeout 30m }

✅ 优势：超时由内核直接管理，即使系统重启，只要规则集加载，该集合仍保持 timeout 属性；添加/删除元素不会影响其他规则运行。

单纯限速（如 limit rate 5/minute）无法记忆状态，但结合 meter + timeout set 可实现带记忆的自动衰减防护。

创建一个带超时的 meter 标记集合（用于记录触发过限速的源 IP）：
sudo nft add set ip filter ratehit { type ipv4_addr; flags timeout; }
定义限速器并关联标记动作：
sudo nft add rule ip filter input tcp dport 22 meter ssh_mtr { ip saddr limit rate 5/minute burst 10 } @ratehit add @ratehit { ip saddr } timeout 5m

免费语音克隆
一款提供AI语音克隆和文本转语音能力的在线工具，可根据声音样本生成具有相似音色特征的语音内容。

下载
后续规则可基于 @ratehit 进行强化拦截：
sudo nft add rule ip filter input ip saddr @ratehit tcp dport 22 drop

⚠️ 注意：meter 触发后往 @ratehit 添加元素，该元素 5 分钟后自动消失，封禁随之解除——整个过程无外部依赖，纯内核驱动。

自动过期不是孤立功能，它需要与日志联动才能形成动态闭环。

给可疑连接打日志标签：
sudo nft add rule ip filter input tcp dport 22 ct state new log prefix "ssh-new: " level warn
用 ulogd2 或轻量 Python 脚本监听 nflog，检测连续失败后执行：
nft add element ip filter tempban { 198.51.100.12 timeout 1h }
不写定时任务清理，因为 timeout 1h 已确保 1 小时后该 IP 自动从集合中消失，规则自然失效。