利用nftables的dynamic集合可实现白名单ip在线动态增删：创建带dynamic标志的ipv4集合，用nft add/delete element实时操作，配合规则ip saddr @cluster_whitelist accept精准放行，无需重载、不中断流量。
利用 nftables 的 element 特性实现白名单集群 IP 的在线动态增删，核心在于使用支持 dynamic 标志的 set（集合），配合 nft add element 和 nft delete element 命令实时操作，无需重载规则、不中断流量。
创建带 dynamic 标志的 IPv4 白名单集合
动态集合允许运行时增删元素，且元素可带超时（timeout）或自动过期能力，适合管理临时可信 IP 或需快速响应的集群节点：
- 执行命令创建集合（推荐用
inet表族统一支持 IPv4/IPv6）：nft add set inet filter cluster_whitelist { type ipv4_addr \; flags dynamic \; size 65536 \; } -
flags dynamic是关键——它启用运行时添加/删除能力；size预分配空间，避免扩容抖动；若需自动清理，可加timeout 1h让 IP 一小时后自动失效
向白名单集合中添加集群节点 IP
每新增一台可信服务器或负载均衡后端，直接插入其公网或内网 IP：
- 单个添加：
nft add element inet filter cluster_whitelist { 10.20.30.10 } - 批量添加（支持逗号分隔）：
nft add element inet filter cluster_whitelist { 10.20.30.11, 10.20.30.12, 192.168.5.100 } - 添加带超时的 IP（例如仅允许该节点在 30 分钟内通信）：
nft add element inet filter cluster_whitelist { 10.20.30.20 timeout 30m }
从白名单中实时移除失效或下线节点
节点缩容、故障隔离或安全事件响应时，秒级摘除访问权限：
- 删除单个 IP：
nft delete element inet filter cluster_whitelist { 10.20.30.10 } - 删除多个 IP：
nft delete element inet filter cluster_whitelist { 10.20.30.11, 10.20.30.12 } - 注意：删除操作是原子的，不影响其他规则匹配，也不触发连接中断
在规则中引用该集合实现精准放行
只需一条规则即可匹配整个白名单集合，性能远高于逐条写 IP：
- 示例规则（放在 INPUT 链中，配合默认 drop 策略）：
nft add rule inet filter input ip saddr @cluster_whitelist accept - 如需限定协议和端口（如只放行集群间 HTTPS 流量）：
nft add rule inet filter input ip saddr @cluster_whitelist tcp dport 443 accept - 该规则始终生效，集合内容变更后立即生效，无需 reload 或 flush
