nftables仅负责l3/l4层端口转发与基础防护，无法解析http/tls等应用层协议或执行协议转换；需由haproxy、envoy、caddy等专用代理承担协议识别、tls卸载、header重写、http/2升级等应用级功能，并与nftables分层协同实现安全高效的端口转发。
应用级端口转发与协议转换，不能只靠 nftables 单独完成。nftables 是网络层（L3/L4）工具，擅长 IP/端口映射、地址伪装、连接跟踪和基础过滤，但它不解析 HTTP、TLS、WebSocket 等应用层协议，也无法做协议转换（如 HTTP→HTTPS 重写、HTTP/1.1→HTTP/2 升级、TCP→WebSocket 封装等）。真正实现“应用级”能力，需要分层协作：nftables 做前置流量调度和安全兜底，上层由专用代理或网关承担协议识别与转换。
nftables 承担的底层职责
nftables 在整个方案中负责可靠、低开销的初始路由与基础防护，是整条链路的入口守门人：
-
精准 DNAT 转发：将公网端口（如 443）定向到后端代理监听地址（如 127.0.0.1:8443），避免暴露真实服务端口。示例规则：
nft add rule inet nat prerouting tcp dport 443 dnat to 127.0.0.1:8443 -
严格来源控制：仅允许可信入口（如云 WAF 回源 IP 段、CDN 节点、跳板机）访问转发端口，拒绝其他所有请求：
nft add rule inet filter input iifname "eth0" ip saddr @trusted_cidrs tcp dport 443 ct state new accept - 连接状态防护：配合 conntrack 限制单 IP 新建连接速率（防扫描）、丢弃非法状态包（如 FIN+SYN 组合），减轻上层代理压力
-
透明 TLS 卸载协同：若后端代理需接收原始 HTTP 流量，nftables 可配合 TPROXY 或 socket 模块做透明代理引流（需开启
net.ipv4.conf.all.forwarding=1和net.ipv4.conf.all.route_localnet=1）
应用级协议转换必须交由专用组件
nftables 不处理 HTTP 头、不终止 TLS、不理解 URI 结构——这些必须交给能深度解析协议的程序：
- HAProxy：支持 SNI 路由、HTTP 重定向（301/302）、Header 改写、TLS 版本协商、ALPN 分流、gRPC over HTTP/2 封装。适合 Web、API、gRPC 场景
- Envoy：提供更细粒度的协议转换能力，如 HTTP/1.1 ↔ HTTP/2 ↔ HTTP/3 自动适配、WebSocket 升级透传、mTLS 认证注入、动态路由匹配
- Caddy：内置自动 HTTPS、HTTP → HTTPS 强制跳转、反向代理路径重写、FastCGI/PHP 协议桥接，配置简洁适合中小规模服务
-
SSH 端口转发（临时场景）：用
ssh -R或ssh -L实现加密隧道，适用于调试、内网穿透，但不具备协议感知能力，仅做 TCP 层封装
典型组合部署结构
一个生产就绪的应用级转发链路通常如下：
公网请求 → [nftables: 入口限速 + DNAT → HAProxy] → [HAProxy: TLS 卸载 + Host 路由 + Header 过滤 + 协议升级] → [后端服务]- nftables 绑定在物理接口或防火墙边界，只做一次目标地址改写，不参与后续内容判断
- HAProxy 监听本地端口（如 127.0.0.1:8443），启用
http-request set-var提取 User-Agent、Path、Cookie 等字段，按需执行重写、拒绝或转发 - 若需协议转换（如 WebSocket over TLS），HAProxy 配置
use_backend ws_if_ws+acl is_ws hdr(Upgrade) -i websocket，nftables 不感知该逻辑 - 所有日志、审计、限流策略集中在 HAProxy 层，nftables 仅记录连接建立失败、SYN Flood 等网络异常
关键安全协同点
协议转换组件自身存在攻击面，nftables 必须与其形成纵深防御：
-
绑定监听地址：HAProxy / Envoy 必须仅监听
127.0.0.1或管理网卡，禁止绑定0.0.0.0暴露到公网 - 前置 fail2ban：nftables 配合 fail2ban 监控 HAProxy 日志，对高频 403/404 请求自动封禁源 IP
- TLS 轮换隔离：证书更新由专门脚本触发，HAProxy reload 不影响 nftables 规则；nftables 不参与证书管理
- 集中日志审计：nftables 记录原始连接元数据（源 IP、端口、时间戳），HAProxy 记录应用层详情（URI、状态码、响应时长），两者通过时间戳关联分析
