nftables 的 map 和 set 机制通过哈希查表实现毫秒级策略匹配，map 适用于分级处置（如不同源 ip 执行不同动作），set 适用于统一动作的批量拦截（如黑名单），配合分层链结构可显著提升性能。
快速查找网络访问策略，关键不是翻规则列表，而是让策略本身支持“查表式”响应——nftables 的 map 和 set 就是为此设计的底层机制。它们把策略从线性扫描变成哈希查找，毫秒级定位，尤其适合数万条规则场景。
用 map 实现 O(1) 策略查表
map 是带动作的键值对结构，适合“不同源 IP 执行不同处置”的分级策略：
- 定义映射：比如按 IP 区分封禁等级：nft add map inet filter ip_action { type ipv4_addr : verdict ; }
- 插入策略：nft add element inet filter ip_action { 203.0.113.5 : drop, 198.51.100.12 : reject with icmp type host-unreachable }
- 链中调用：nft add rule inet filter input ip saddr @ip_action —— 一条规则覆盖全部映射，内核直接哈希查表
- 注意：key 类型必须严格匹配（如 ipv4_addr 不兼容字符串），建议用 nft list map -n 查看原始数值，避免解析歧义
用 set 实现单动作批量拦截
set 更轻量，适合“全量统一处置”，比如恶意 IP 黑名单：
- 创建带 interval 的集合（必须！否则 CIDR 网段会被拆成海量单 IP）：nft add set inet filter blacklist { type ipv4_addr \ flags interval \ timeout 12h }
- 添加混合条目：nft add element inet filter blacklist { 192.0.2.100, 203.0.113.0/24 }
- 链中引用：nft add rule inet filter input ip saddr @blacklist drop —— 规则只写一次，集合动态增删不中断服务
- 避免 flush：清空时用 nft delete element 逐条删，或依赖 timeout 自动过期，防止策略真空
配合分层链结构加速定位
查表再快，也要进对链。把策略按命中概率和生命周期分层，减少无效查表：
- fastpath 链：放行 established/related 连接、本地回环、管理网段，约 80% 流量在此终结，不触碰策略表
- policy 链：挂载 map/set 规则，专注租户、服务、接口等多维管控，只处理剩余 20%
- fallback 链：仅保留默认 deny 或限速，无具体策略，保障兜底且不拖慢主路径
验证与调试技巧
查得快，还得查得准：
- 确认 map/set 是否生效：nft list map inet filter ip_action 或 nft list set inet filter blacklist
- 检查规则是否命中：nft list chain inet filter input -a（带 handle 编号），再用 nft monitor trace 抓包看实际匹配路径
- 禁用非必要开销：移除 log target、关闭 counter（除非调试），避免软中断影响查表延迟
