Debian系统从Buster版本开始，nftables已正式取代iptables成为默认的防火墙框架。如果你还在使用旧的iptables规则，是时候迁移到更高效、统一的nftables了。直接迁移的核心在于理解nftables的新语法，并将现有规则转换或重新编写。本文将一步步展示如何在Debian上禁用iptables、安装并配置nftables，并提供常用规则的设置方法。
为什么nftables是iptables的必然替代者？
iptables长期以来是Linux防火墙的标准，但它存在架构上的局限。它实际上由多个独立工具组成，如iptables、ip6tables、arptables和ebtables，分别处理IPv4、IPv6、ARP和网桥过滤，规则管理繁琐且重复。nftables则提供了一个统一的框架，用一套语法管理所有网络层的过滤。其内核层面的nft虚拟机执行效率更高，规则集更紧凑，对复杂规则的处理性能显著提升。对于Debian用户而言，系统官方支持转向nftables意味着长期维护和安全性更有保障。
在Debian上彻底切换至nftables的准备工作
首先确保你的Debian系统版本为10（Buster）或更新。执行lsb_release -a确认版本。迁移前，备份现有iptables规则至关重要，运行iptables-save > /root/iptables-backup.rules和ip6tables-save > /root/ip6tables-backup.rules。接着，需要卸载iptables的持久化包并禁用相关服务，以避免与nftables冲突。通过sudo systemctl stop iptables和sudo systemctl disable iptables停止服务，同样处理ip6tables。然后安装nftables软件包：sudo apt update && sudo apt install nftables。安装后，系统会自动启用nftables服务并生成一个默认的空白配置文件。
掌握nftables的核心语法与结构
nftables的规则结构分为三层：表（table）、链（chain）和规则（rule）。表是最高层，用于区分规则类型，如ip（IPv4）、ip6（IPv6）、inet（同时处理IPv4和IPv6）。链包含具体的规则序列，分为基础链（与网络钩子绑定）和常规链（用于规则组织）。规则则由匹配表达式和判断动作组成。其语法更接近编程语言，例如定义一个允许SSH的规则：nft add rule inet filter input tcp dport 22 accept。理解这种结构是编写有效规则的基础。
编写并加载nftables配置文件
nftables的默认配置文件位于/etc/nftables.conf。你可以直接编辑此文件来定义永久规则。一个典型的配置示例如下，它创建一个同时处理IPv4/IPv6的过滤器表，并设置基本的输入、输出和转发链：
#!/usr/sbin/nft -f
flush ruleset
table inet filter {
chain input {
type filter hook input priority 0; policy drop;
# 允许本地回环流量
iif lo accept
# 允许已建立和相关连接
ct state established,related accept
# 允许ICMP (ping)
ip protocol icmp accept
ip6 nexthdr icmpv6 accept
# 允许SSH (端口22)
tcp dport 22 accept
# 允许HTTP/HTTPS (端口80, 443)
tcp dport {80, 443} accept
}
chain forward {
type filter hook forward priority 0; policy drop;
}
chain output {
type filter hook output priority 0; policy accept;
}
}编辑保存后，使用sudo systemctl restart nftables加载配置。检查规则是否生效：sudo nft list ruleset。此配置设置了默认丢弃（drop）的严格输入策略，同时放行关键服务，这是一个安全且实用的起点。
常用防火墙规则配置实例详解
在实际部署中，你可能需要更细致的控制。例如，限制某个IP范围访问管理端口，可以添加规则：nft add rule inet filter input tcp dport 22 ip saddr 192.168.1.0/24 accept。要记录被拒绝的流量以便分析，可在input链的默认策略前插入日志规则：nft insert rule inet filter input position 2 ct state new limit rate 5/minute log prefix "nft-drop: " drop。对于需要端口转发的场景，nftables同样能简洁处理。首先确保内核转发已开启，然后在配置文件中添加nat表和相关规则。
从iptables到nftables的迁移工具与技巧
手动转换大量iptables规则可能耗时。Debian提供了iptables-translate和ip6tables-translate工具，可以将现有的iptables规则转换为nftables语法。例如，运行iptables-translate -A INPUT -p tcp --dport 80 -j ACCEPT会输出对应的nft命令。但请注意，此工具并非完美，一些复杂或过时的模块可能无法转换，需要手动调整。建议先翻译备份的规则文件，仔细检查后再应用到新系统。另一种策略是，在测试环境中并行运行两者，逐步验证新规则的等效性。
nftables的高级功能与性能调优
nftables的优势在于其高级功能。它原生支持集合（set）和字典（map），能极大简化对多IP、多端口的匹配。例如，定义一个允许的端口集合：nft add set inet filter allowed_ports { type inet_service; flags constant; elements = { 22, 80, 443 };，然后在规则中引用：nft add rule inet filter input tcp dport @allowed_ports accept。对于高性能场景，nftables的流量统计和限速能力也更强大。你可以使用nft list ruleset查看每个规则的匹配计数器，这对监控和调试非常有用。
确保nftables配置持久化与故障排除
在Debian上，nftables.service负责在启动时加载/etc/nftables.conf。确保该服务已启用：sudo systemctl enable --now nftables。任何对规则集的临时修改（通过nft命令）在重启后都会丢失，因此务必在测试无误后更新到配置文件。常见故障包括语法错误导致服务启动失败，可通过sudo nft -c -f /etc/nftables.conf检查语法。若配置错误导致锁死SSH连接，应通过本地控制台或VNC登录修复。一个良好的习惯是在修改关键规则前，设置一个计划任务在几分钟后恢复旧规则。
结语：拥抱更现代的防火墙管理方式
从iptables迁移到nftables是Debian系统管理的必然一步。尽管初期需要学习新语法，但其带来的统一性、性能和可维护性提升是显著的。建议管理员从简单的配置文件开始，逐步引入集合、链优先级等高级特性。随着云原生和容器化的发展，nftables与其它网络工具（如NetworkManager、容器网络接口）的集成也将越来越紧密。掌握nftables，不仅是跟上技术潮流，更是构建更安全、更高效Linux网络基础设施的关键技能。
