网络接口漂移导致nftables硬编码规则失效，应采用稳定标识（如iiftype、ip网段、接口索引）和动态集合替代静态接口名，并按回环→连接状态→业务规则顺序配置以保障鲁棒性。
网络接口漂移（interface flapping）指网卡名称动态变化，比如系统重启后 eth0 变成 ens3、或云环境因驱动/udev规则更新导致接口名重分配。这对硬编码 iifname "eth0" 的 nftables 规则会造成策略失效——流量可能绕过防火墙，或误拦合法通信。解决的关键不是“固定接口名”，而是用**稳定标识+动态匹配**替代静态字符串。
用接口类型和属性代替具体名称
接口名会变，但类型和用途通常不变。例如管理网口总是以太网、回环始终是 loopback、bonding 接口带 bond_ 前缀。nftables 支持基于这些稳定属性的匹配：
- iiftype ethernet：匹配所有物理以太网接口，不管叫 eth0、enp0s3 还是 ens192
- iiftype loopback：精准匹配 lo，不受命名影响
- iifname "bond*"：用通配符匹配绑定接口（需内核 ≥ 5.10，支持 shell-style glob）
-
iif "1"：用内核分配的接口索引（
ip link show中第一列数字），比名称更底层、更稳定
结合 IP 地址段做双重校验
接口名不可靠，但业务网段通常是规划好的、不变的。把地址范围作为主匹配条件，接口属性作辅助，能大幅提高鲁棒性：
- 允许来自 10.100.0.0/16 网段的 SSH 流量，无论它走哪个物理接口：
nft add rule inet filter input ip saddr 10.100.0.0/16 tcp dport 22 ct state new accept - 若需限定仅从“内部管理网段”流入，可叠加接口类型：
nft add rule inet filter input iiftype ethernet ip saddr 10.100.0.0/16 tcp dport 22 accept
用命名集合实现热更新
当必须按接口控制时，不写死名称，而是把当前有效的接口名存入动态集合，规则引用集合：
- 创建可更新的接口集合：
nft add set inet filter mgmt_ifs { type ifname\; } - 脚本定期探测并刷新（如 systemd timer 每分钟执行）：
nft flush set inet filter mgmt_ifs && nft add element inet filter mgmt_ifs { $(ip -o link show | awk '/10.100./ {print $2}' | sed 's/://') } - 规则直接引用：
nft add rule inet filter input iifname @mgmt_ifs tcp dport 22 accept
避免默认链策略依赖接口名
INPUT 链默认 policy drop 是安全基线，但若早期规则依赖 iifname "eth0" 而该接口已不存在，后续规则可能被跳过。应确保基础放行规则不依赖易变字段：
- 优先放行回环：
nft add rule inet filter input iiftype loopback accept - 再放行已建立连接：
nft add rule inet filter input ct state { established, related } accept - 最后才按接口或地址做业务规则——这样即使接口名错配，也不会阻断 ssh 回环或已有会话
