nftables性能优化需同步调优内核参数：1. conntrack调优（增大表上限、缩短超时、notrack绕过）；2. tcp栈与缓冲区优化（扩缓冲区、提队列容量、启用tw_reuse）；3. 系统资源支撑（增文件句柄、降swappiness）；4. 关闭干扰功能（禁ipv6、icmp广播、启syn cookies）。

nftables 本身是内核子系统，它的性能表现高度依赖底层内核配置。单纯写几条规则不够，必须同步调整相关内核参数，才能释放其高吞吐、低延迟的潜力。

连接跟踪（conntrack）调优

连接跟踪是 nftables 实现状态化过滤的基础，但默认配置在高并发场景下极易成为瓶颈。

• 增大连接跟踪表上限：
  echo 1048576 > /proc/sys/net/netfilter/nf_conntrack_max
  写入 /etc/sysctl.conf 永久生效：
  net.netfilter.nf_conntrack_max = 1048576
• 缩短超时时间可加快表项回收（尤其对短连接服务）：
  net.netfilter.nf_conntrack_tcp_timeout_established = 432000（5天→5天可按需下调）
  net.netfilter.nf_conntrack_tcp_timeout_time_wait = 30（默认120秒，激进场景可压至30）
• 对明确不需要状态检查的流量（如 UDP DNS 查询、健康探针），用 ct state invalid drop + notrack 规则绕过 conntrack，减少开销

TCP 栈与网络缓冲区协同优化

nftables 处理的每个包最终都走 TCP/IP 协议栈，缓冲区大小和队列深度直接影响规则匹配后的转发效率。

Browser Setup (No-Root Linux)

在无 root/sudo 权限的环境（云容器、VPS、隔离主机）中安装并配置 OpenClaw 浏览器工具的 headless Chrome。适用场景：...

下载

• 扩大接收/发送缓冲区上限（单位字节）：
  net.core.rmem_max = 134217728（128MB）
  net.core.wmem_max = 134217728
• 提升监听队列容量，避免 SYN 包丢失：
  net.core.somaxconn = 65535
  net.ipv4.tcp_max_syn_backlog = 65535
• 启用 TIME_WAIT 复用（仅限客户端主动建连场景）：
  net.ipv4.tcp_tw_reuse = 1（必须搭配 net.ipv4.tcp_timestamps = 1）

系统资源与文件句柄支撑

nftables 规则集加载、计数器统计、日志输出等操作都会消耗文件描述符和内存资源。

• 提高系统级最大文件句柄数：
  fs.file-max = 2097152
• 为运行防火墙管理进程（如 nft monitor 或自定义脚本）的用户设置软硬限制：
  在 /etc/security/limits.conf 中添加：
  * soft nofile 1048576
  * hard nofile 1048576
• 降低 swap 倾向性，保障 nftables 内存分配不被阻塞：
  vm.swappiness = 10

关闭干扰性网络功能

某些默认开启的内核网络特性会与 nftables 流量路径冲突或引入额外延迟。

• 禁用 IPv6（若业务纯 IPv4）：
  net.ipv6.conf.all.disable_ipv6 = 1
  net.ipv6.conf.default.disable_ipv6 = 1
• 关闭 ICMP 广播响应和虚假错误处理（增强安全性且减小中断负载）：
  net.ipv4.icmp_echo_ignore_broadcasts = 1
  net.ipv4.icmp_ignore_bogus_error_responses = 1
• 启用 SYN cookies 防御洪水攻击，避免 conntrack 表被恶意填满：
  net.ipv4.tcp_syncookies = 1