安全调试 nftables 的正确方式是先用 nft -c -f /etc/nftables.conf 执行 dry-run：它不修改运行规则，仅校验语法合法性与潜在冲突（如重复表名、链已存在等），返回 0 表示可通过，非零则精准报错；但 dry-run 不验证语义合理性、流量路径匹配及 conntrack 状态影响，需配合 nft monitor trace 和 conntrack -l 等进一步验证。
直接用 nft -f /etc/nftables.conf 加载配置，风险高、回滚慢。真正安全的调试方式，是先用 dry-run 模式验证规则语法和逻辑兼容性，确认无误再落地。
dry-run 的核心作用
它不修改任何运行中的规则，只做两件事：检查配置文件语法是否合法；模拟加载过程，报告潜在冲突（比如重复表名、链已存在、端口被多次放行等）。这不是“预览”，而是真实校验引擎对规则集的解析反馈。
如何正确执行 dry-run
- 命令很简单：
nft -c -f /etc/nftables.conf——-c就是 dry-run 开关 - 返回值为
0表示通过，可放心加载；非零（如1）表示有错，终端会明确指出哪一行、什么错误（例如syntax error或table already exists） - 别跳过这步：哪怕只是删了一个分号或少了一个右括号，
nft -f会静默失败，而-c会立刻报错
dry-run 不能替代的三件事
-
不验证规则语义是否合理：比如写了
tcp dport 22 accept却没加ct state established,related accept，dry-run 不会提醒你 SSH 可能断连 -
不检测流量路径匹配问题：规则放在 input 链，但实际包走 forward，dry-run 看不出——得靠
nft monitor trace -
不反映 conntrack 状态影响：established 流量是否被跳过、invalid 状态是否启用，需结合
conntrack -L和实际连接测试
配合 dry-run 的实用组合动作
- 改完配置后，先
nft -c -f /etc/nftables.conf；通过再nft -f /etc/nftables.conf - 上线前，在灰度节点跑一次
nft -c -f+nft list ruleset对比旧规则，确认新增/删除项符合预期 - 写 CI/CD 流水线时，把
nft -c -f作为必过检查项，避免带错规则发布
