nftables命名集合是高效过滤ip地址池的唯一合理选择，通过哈希查表实现o(1)匹配，支持cidr、自动过期与原子操作，替代低效线性规则链。
高效过滤 IP 地址池，核心不是堆规则，而是用对数据结构——nftables 的命名集合（Set）是唯一合理选择。它把数万 IP 的匹配从线性扫描（O(N)）压缩成一次哈希查表（O(1)），且支持 CIDR、自动过期、原子增删，完全适配动态地址池场景。
用命名集合替代静态规则列表
避免写类似这样的低效规则：
nft add rule ip filter input ip saddr 192.168.1.10 dropnft add rule ip filter input ip saddr 192.168.1.11 drop- ……（重复数千次）
这种写法会导致规则链膨胀、加载慢、更新卡顿，且无法批量管理。正确做法是先定义一个可动态维护的集合：
-
nft add set inet filter ip_pool { type ipv4_addr \; flags interval \; timeout 1h \; }
→ 启用 interval 支持网段（如 10.0.0.0/16），timeout 让临时封禁自动清理 -
nft add element inet filter ip_pool { 192.168.5.0/24, 203.0.113.10-203.0.113.50, 198.51.100.200 }
→ 单条命令注入整个地址范围，无需拆解
在 INPUT 链中精准调用
创建一条规则引用该集合，位置至关重要：
-
nft insert rule inet filter input ip saddr @ip_pool drop
→ 用 insert 确保它在 established 检查之后、服务白名单之前，既不放行恶意源，也不干扰正常连接 - 若需记录日志但防刷：
nft insert rule inet filter input ip saddr @ip_pool log prefix "IP_POOL_DROP: " limit rate 5/minute burst 10 drop - 如需区分处理（如部分限速、部分直接丢）：可搭配 Map，例如
type ipv4_addr : verdict，为不同 IP 分配 accept/drop/meter
对接自动化与批量维护
地址池常来自威胁情报或内部系统，需免人工同步：
- 脚本化导入：将 IP 列表保存为
pool.txt（每行一个 IP 或 CIDR），执行：while IFS= read -r ip; do echo "add element inet filter ip_pool { $ip }"; done - Fail2ban 集成：修改其 action.d/nftables.conf，把
actionban指向nft add element inet filter ip_pool { <ip> }</ip> - 验证是否生效：
nft list set inet filter ip_pool查元素，nft list ruleset | grep ip_pool查规则位置
不复杂但容易忽略：集合必须定义在 inet 协议族下才能同时覆盖 IPv4/IPv6 流量；若只管 IPv4，用 ip 族更轻量。关键不在加多少 IP，而在让内核用最短路径做判断。
