nftables高效需规则结构、数据结构与内核协同优化：established/related规则置顶，用set/map替代线性规则，分fastpath/policy/fallback三层链，调优conntrack及tcp参数，慎用log/counter。
nftables 不是 iptables 的命令平移，而是一套重设计的网络控制框架。规则写得再短，若结构松散、匹配路径冗长、底层参数不配合，性能照样打折扣。真正高效的做法，是把规则组织、数据结构、内核支撑三者拧成一股绳。
规则顺序与匹配路径压缩
包匹配不是“查完所有规则才决定放行”，而是“找到第一条匹配就执行动作并退出”。高频流量必须最先被识别，避免无效扫描。
- ESTABLISHED/RELATED 规则必须放在 input/forward 链最顶端：nft add rule inet filter input ct state established,related accept
- 紧随其后加 ct state invalid drop，快速过滤非法连接状态
- 回环（lo）和管理网段放行也应前置，不参与后续策略判断
- 拒绝类规则（如 drop 或 reject）尽量靠后，仅作为 fallback，避免打断 fastpath
用集合（Set）和映射（Map）替代线性规则
写 100 条单 IP 放行规则，不如建一个含 100 个元素的集合 + 1 条引用规则。前者匹配耗时随条目数线性增长，后者基本恒定。
- IP 白名单：nft add set inet filter mgmt_ips { type ipv4_addr\; flags interval\; }；再 nft add element inet filter mgmt_ips { 192.168.10.0/24, 203.0.113.5 }
- 端口集合：nft add set inet filter svc_ports { type inet_service\; }；填入 { 22, 80, 443, 8000 }
- 组合使用：nft add rule inet filter input ip saddr @mgmt_ips tcp dport @svc_ports accept
- 行为分级用 map：nft add map inet filter ip_action { type ipv4_addr : verdict\; }；绑定 192.168.1.100 → jump block_chain，实现策略分流
链分层设计：fastpath/policy/fallback 三层解耦
把所有逻辑塞进一条 input 链，就像让快递员爬 20 层楼送每件包裹。拆成三层，80% 的包在第一层就完成处理。
- fastpath 链：只做 ct 状态检查、lo 放行、管理网段放行——无条件快出
- policy 链：挂载 set/map/limit 等结构化策略，专注服务维度（如 ssh_in、api_in）或租户维度控制
- fallback 链：仅保留兜底动作，如 log prefix "DROP:" counter drop，不掺杂任何业务逻辑
- 主链用 jump 跳转：nft add rule inet filter input ip saddr 10.0.0.0/8 jump internal_policy
内核级协同调优：不只是写规则
nftables 运行在内核中，但它的吞吐能力直接受 conntrack、TCP 栈、内存资源制约。光调规则，等于只擦方向盘不调发动机。
- conntrack 表扩容：net.netfilter.nf_conntrack_max = 131072（按并发连接数 × 1.5 预留）
- 缩短 time_wait 超时：net.netfilter.nf_conntrack_tcp_timeout_time_wait = 30（激进场景）
- 绕过无需跟踪的流量：对 DNS、健康探针等 UDP 流量，在 prerouting 加 notrack
- 扩缓冲区：net.core.rmem_max = 134217728；启用 tw_reuse：net.ipv4.tcp_tw_reuse = 1（需 timestamps=1）
- 系统资源托底：fs.file-max = 2097152；vm.swappiness = 10；禁 IPv6 若不用
慎用 log 和 counter：它们是性能放大器，不是监控开关
log 和 counter 在高并发下会频繁触发软中断、刷 cache、写内存，开一个就可能拖慢整条链。
- 生产环境 log 仅用于临时排障，且严格限流：tcp dport 22 ct state new limit rate 1/minute log prefix "SSH-NEW:"
- counter 除非用于限速（如 limit rate over 5/minute burst 3 packets counter）或告警联动，否则一律移除
- 长期统计改用 conntrack -L 或 eBPF map，避开 netfilter 规则路径
- nft list chain -a 查看计数器，运行时不加载额外开销
不复杂但容易忽略
