Linux 怎么使用 nftables 实现高性能的包过滤与重定向-linux运维-PHP中文网

nftables高性能配置需规则结构、数据结构与内核协同对齐；应将established/related规则置顶，用set/map替代离散规则，分层设计fastpath/policy/fallback链，dnat/snat走raw/nat表绕开conntrack，并固化配置至/etc/nftables.conf。

linux 怎么使用 nftables 实现高性能的包过滤与重定向

nftables 实现高性能包过滤与重定向，关键不在“写得多”，而在“组织得准”——规则结构、数据结构和内核协同三者必须对齐。单纯堆砌规则或照搬 iptables 写法，反而会拖慢性能。

规则顺序必须压缩匹配路径

Linux 包过滤是线性扫描，命中即停。80% 以上流量是已建立连接（ESTABLISHED/RELATED），所以这条规则必须放在 input 和 forward 链最顶端：

nft add rule inet filter input ct state { established, related } accept
紧随其后加 nft add rule inet filter input ct state invalid drop，快速终结异常连接
回环接口（lo）和可信管理网段也应前置放行，避免参与后续策略判断
所有 reject/drop 规则只作 fallback，不穿插在中间打断 fastpath

用 set 和 map 替代离散规则

写 50 条单 IP 放行规则，不如建一个 set；写 20 条端口规则，不如定义一个 port set。哈希查找接近 O(1)，线性扫描却是 O(n)：

Zynq Linux Hardware Debug

Zynq‑7000 / Zynq UltraScale+ 硬件调试技能。适用于 Xilinx Zynq（Cortex‑A9/A53 + FPGA）Linux 环境，调试 I2C、I2S、UART、GPIO 等外设。包括设备树配置、内核驱动、用户空间调试工具、交叉编译和常见问题排查，支持 PetaLinux 开发。

下载

IP 白名单：nft add set inet filter mgmt_net { type ipv4_addr\; flags interval\; }，再批量添加 nft add element inet filter mgmt_net { 10.0.0.0/8, 172.16.0.0/12 }
服务端口集：nft add set inet filter svc_port { type inet_service\; }，填入 { 22, 80, 443, 8080 }
组合匹配：nft add rule inet filter input ip saddr @mgmt_net tcp dport @svc_port accept
策略分流：用 map 实现 IP 级别动作路由，如 nft add map inet filter ip_policy { type ipv4_addr : verdict\; }，绑定特定地址跳转自定义链

分层链设计：fastpath / policy / fallback

把所有规则塞进一条 input 链，就像让快递员每单都爬 20 层楼。应按处理意图分三层：

fastpath 链：仅含 ESTABLISHED、lo、可信网段、常用服务端口等高频放行规则，hook priority 设为 -100～0
policy 链：承载业务逻辑，如 HTTP 限速、DNS 过滤、应用层协议识别等，priority 0～100
fallback 链：只留默认 drop/reject，以及少数兜底日志或计数器，priority > 100

重定向要绕开 conntrack 压力

DNAT/SNAT 类操作若走常规 filter 链，会强制进入连接跟踪，对 UDP（如 DNS、健康检查）或内网通信造成显著开销。正确做法是：

在 raw 表提前标记无需跟踪的流量：nft add rule ip raw PREROUTING ip saddr 192.168.10.0/24 ip daddr 10.0.1.0/24 notrack
DNAT 重定向统一走 nat 表 prerouting 链：nft add rule ip nat prerouting tcp dport 80 dnat to 10.0.2.100:8080
SNAT 或 MASQUERADE 放在 postrouting：nft add rule ip nat postrouting oifname eth0 snat to 203.0.113.1
调小 conntrack 超时值：sysctl -w net.netfilter.nf_conntrack_tcp_timeout_established=300，防表溢出