nftables规则生效需通过systemd服务触发加载，而非配置文件修改即生效：启动或重载nftables.service时执行nft -f /etc/nftables.conf全量载入，运行时规则与配置文件内容相互独立，语法错误会导致加载失败但服务状态可能仍显示active。
系统加载 nftables 配置不是“改完文件就生效”，而是有明确的触发路径和优先级顺序。关键在于区分配置文件位置、加载时机和实际生效来源三者关系。
默认配置文件路径与用途
/etc/nftables.conf 是大多数发行版（如 Debian/Ubuntu、RHEL/CentOS）的主配置文件，但它的作用仅是静态定义，不自动生效。系统启动时或服务重启时，nftables 服务会尝试读取并加载它。不过：
- 该文件必须语法正确，否则加载失败且无提示（只报错但不中断服务）
- 某些系统（如较新 Ubuntu）可能默认为空或仅含注释，需手动填充规则
- 若存在 /etc/nftables.conf.d/*.nft，部分 systemd 单元会递归加载（需确认服务单元是否启用该功能）
服务加载机制：systemd 如何触发规则载入
nftables 服务（nftables.service）的核心行为是执行 nft -f /etc/nftables.conf。它不监控文件变化，也不热重载：
- 启动服务：
systemctl start nftables→ 加载 /etc/nftables.conf - 重载服务：
systemctl reload nftables→ 重新执行nft -f，清空旧规则后全量载入 - 重启服务效果等同于 reload，但可能短暂中断连接（尤其缺 established 规则时）
注意：systemctl restart nftables 不等于“平滑更新”，而是先 flush 再 load，务必确保配置完整可用。
运行时规则 vs 配置文件：两个独立世界
内存中生效的规则集（nft list ruleset 输出）和 /etc/nftables.conf 的内容可以完全不同：
- 用
nft add rule临时添加的规则带@handle，关机即丢，不会写入配置文件 - 修改 /etc/nftables.conf 后不执行
nft -f或 reload，改动完全无效 - 服务启动失败（如语法错误）会导致规则集为空，
nft list ruleset返回空，但服务状态可能显示 active
其他可能影响配置的路径
除主配置文件外，以下路径在特定场景下参与加载流程：
-
/run/nftables.conf：某些云镜像或容器环境用作运行时覆盖配置（优先级常高于 /etc） -
/usr/share/nftables/：存放示例模板或模块化片段（如 nat-helper.nft），需显式include才生效 -
/etc/sysconfig/nftables（RHEL 系）：旧式变量定义，现代版本已弃用，仅作兼容保留
所有 include 路径都要求在 /etc/nftables.conf 中用 include "/path/to/file.nft" 显式声明，且被包含文件也需语法合规。
