imported>Peterxy：内容扩充

2025-08-28T00:49:50Z

内容扩充

新页面

{{NoteTA
| G1 = it
}}

{{Lowercase title}}
{{Infobox software
| title = nftables
| logo = 
| screenshot = 
| caption =
| collapsible =
| author = The Netfilter Project
| developer = The Netfilter Project
| released = 
| programming language = [[C (programming language)|C]]
| operating system = [[Linux]]
| platform = [[Netfilter]]
| size =
| language =
| genre =
| license = [[GNU General Public License|GPLv2]]
| website = {{ubl
| {{URL|https://netfilter.org/projects/nftables/}}
| {{URL|https://wiki.nftables.org/wiki-nftables/index.php/Main_Page}}}}
| discontinued =
}}

'''nftables'''是[[Linux内核]]的一个子系统，提供[[網路封包|网络数据包]]、报文、[[以太网帧格式|以太网帧]]的过滤和分类。该系统从2014年1月19日[[Linux内核]]版本3.13发布之后可用。 <ref name="nftables313">{{Cite web|date=2014-01-19|title=nftables, the successor of iptables|url=https://kernelnewbies.org/Linux_3.13#head-f628a9c41d7ec091f7a62db6a49b8da50659ec88|access-date=2016-03-04|website=Linux 3.13|publisher=kernelnewbies.org|archive-date=2024-05-18|archive-url=https://web.archive.org/web/20240518012016/https://kernelnewbies.org/Linux_3.13#head-f628a9c41d7ec091f7a62db6a49b8da50659ec88|dead-url=no}}</ref>

nftables取代了[[Netfilter]]的旧版用户空间工具[[iptables]]。nftables相对于iptables的优点是代码重复度少并且更容易扩展到新协议。nftables通过[[使用者空間|用户空间]]实用程序nft进行配置，代替之前的传统工具即[[iptables]]、 ip6tables、[[arptables]]和ebtables。<ref>{{Cite web |title=How We Used eBPF to Build Programmable Packet Filtering in Magic Firewall |url=https://blog.cloudflare.com/programmable-packet-filtering-with-magic-firewall}}</ref>

nftables 利用[[Netfilter]]基础设施的构建块，例如网络堆栈中的现有挂钩、连接跟踪系统、用户空间排队组件和日志记录子系统。

== nft ==

=== 命令行语法 ===
用于丢弃所有目标IP地址为1.2.3.4的数据包的一条命令：
<syntaxhighlight lang="console">
nft add rule ip filter output ip daddr 1.2.3.4 drop
</syntaxhighlight>
请注意，新语法与iptables的语法存在显著差异，在iptables中相同规则的写法如下：
<syntaxhighlight lang="console">
iptables -A OUTPUT -d 1.2.3.4 -j DROP
</syntaxhighlight>
新语法看似更冗长，但灵活性却大幅提升。nftables整合了字典、映射表和连接表等[https://wiki.nftables.org/wiki-nftables/index.php/Main_Page#Advanced_data_structures_for_performance_packet_classification 高级数据结构]，这些在iptables中并不存在。利用这些特性，可显著减少实现特定数据包过滤设计所需的链表和规则数量。

<code>iptables-translate</code>工具可用于将许多现有的iptables规则转换为等效的nftables规则。<ref>{{Cite web |title=Moving from iptables to nftables - nftables wiki |url=https://wiki.nftables.org/wiki-nftables/index.php/Moving_from_iptables_to_nftables |website=wiki.nftables.org |access-date=2025-08-28}}</ref><ref>{{Cite web |title=List of available translations via iptables-translate tool - nftables wiki |url=https://wiki.nftables.org/wiki-nftables/index.php/List_of_available_translations_via_iptables-translate_tool |website=wiki.nftables.org |access-date=2025-08-28}}</ref>Debian 10（Buster）等[[Linux发行版]]采用nftables作为默认数据包过滤后端，并配合<code>iptables-translate</code>使用。<ref>{{Cite web |title=nftables - Debian Wiki |url=https://wiki.debian.org/nftables |website=wiki.debian.org |access-date=2025-08-28}}</ref>

==历史==
该项目首次由Netfilter核心团队的Patrick McHardy在2008年Netfilter研讨会上公开展示。<ref>{{cite web|url=https://workshop.netfilter.org/2008/User-day-program.html |title=User day program – NFWS2008 |publisher=workshop.netfilter.org |date=2008-10-03 |access-date=2014-02-22}}</ref> 内核和用户空间实现的首个预览版于2009年3月发布。<ref>[https://marc.info/?l=linux-netdev&m=123735060618579 initial release announcement].</ref> 尽管该工具被誉为“自2001年iptables问世以来Linux防火墙领域最重大的变革”，却很少有媒体获得关注。<ref name="risky.biz">{{cite news |last=Gray |first=Patrick |title=NEWS: Linux Gets New Firewall |url=https://risky.biz/news_and_opinion/patrick-gray/2009-03-26/news-linux-gets-new-firewall |publisher=Risky.biz |date=March 26, 2009}}</ref> 知名黑客[[戈登·里昂]]表示，他“正期待该功能在主流[[Linux内核]]中的正式发布”。<ref name="risky.biz" />

该项目始终处于alpha阶段，其官方网站于2009年被撤下。2010年3月，项目邮件列表中作者的邮件显示该项目仍在持续开发中，即将迎来beta版本的发布；<ref>{{cite web |url=https://www.spinics.net/lists/netfilter-devel/msg12409.html |title=Linux Netfilter Devel – Re: Current state of nftables |publisher=Spinics.net |access-date=2014-01-20}}</ref><ref>{{cite web|url=https://www.spinics.net/lists/netfilter-devel/msg15690.html |title=Linux Netfilter Devel – Re: Current state of nftables |publisher=Spinics.net |access-date=2014-01-20}}</ref> 但后者从未正式发布。2012年10月，Pablo Neira Ayuso为iptables提出了一层兼容性接口，<ref>{{cite web |url=https://www.spinics.net/lists/netfilter-devel/msg23831.html |title=Linux Netfilter Devel – [RFC] back on nf_tables (plus compatibility layer) |publisher=Spinics.net |access-date=2014-01-20}}</ref>并宣布该项目可能被纳入主流内核。

2013年10月16日，Pablo Neira Ayuso向Linux内核主线提交了nftables核心功能的pull请求。<ref>{{cite web |url=https://marc.info/?l=netfilter-devel&m=138176887917614&w=2 |title=[PATCH 00/17] netfilter updates: nf_tables pull request |publisher=Marc.info |access-date=2014-01-20}}</ref> 该功能于2014年1月19日随Linux内核3.13版本的发布合并至内核主线。<ref name="nftables313" />

==概览==
nftables内核引擎为Linux内核添加了一个简单的虚拟机，能够执行字节码来检查网络数据包并决定如何处理该数据包。该虚拟机实现的操作被刻意设计得基础化，它能够从数据包本身获取数据，查看关联的元数据（例如入站接口），并管理连接跟踪数据。基于这些数据，可使用算术运算符、位运算符和比较运算符进行决策。该虚拟机还支持操作数据集合（通常为IP地址），从而能用单次集合查询替代多次比较操作。<ref name="lwn-nftables">{{cite web
| url = https://lwn.net/Articles/564095/
| title = The return of nftables
| date = 2013-08-20
| access-date = 2013-10-22
| author = Jonathan Corbet
| publisher = [[LWN.net]]}}</ref>

上述组织方式与iptables防火墙代码相悖，后者将协议识别功能深度嵌入逻辑层，导致代码不得不为IPv4、IPv6、ARP及以太网桥接四种场景分别复写——因防火墙引擎过于依赖特定协议，无法实现通用化应用。<ref name="lwn-nftables" />

nftables相较于iptables的主要优势在于：简化Linux内核应用程序二进制接口（ABI）、减少代码重复、改进错误报告机制，以及实现更高效的过滤规则执行、存储与增量变更。传统使用的{{man|3|iptables|||inline}}、{{man|3|ip6tables|||inline}}、{{man|3|arptables|||inline}}和{{man|3|ebtables|||inline}}（分别用于IPv4、IPv6、ARP和以太网桥接）将被nft取代，作为统一实现方案，在内核虚拟机之上提供防火墙配置功能。

nftables还提供了一个改进的用户空间API，允许在单次Netlink事务中原子性地替换一条或多条防火墙规则。这能加速大型规则集环境中的防火墙配置变更，同时有助于避免规则变更执行过程中的竞争条件。nftables还包含兼容性功能以简化从旧版防火墙的迁移，提供可转换iptables格式规则的命令行工具， <ref>{{cite web |last1=Neira Ayuso |first1=Pablo |title=nftables – nft command line tool |url=https://git.netfilter.org/nftables/commit/?id=b65a70131d0d38844be12235270eebaa9d2f5a4d |website=git.netfilter.org |access-date=24 January 2019}}</ref>以及使用nftables后端的语法兼容iptables命令版本。<ref>{{cite web |last1=Arturo |first1=Ral |title=Netfilter Workshop 2018 Berlin summary |url=https://ral-arturo.org/2018/06/16/nfws2018.html |website=ral-arturo.org |access-date=24 January 2019}}</ref>

==参考文献==
{{reflist}}

==外部链接==
{{Portal|自由软件|Linux}}
* [https://lore.kernel.org/netdev/49C078B6.4020603@trash.net/ First release of nftables （2009-03-18）]
* [https://lore.kernel.org/netdev/20121025170632.GA4890@1984/ Pablo Neira Ayuso: [RFC] back on nf_tables (plus compatibility layer)]
* [https://home.regit.org/netfilter-en/nftables-quick-howto/ nftables quick HOWTO]
* nftables sections in [https://wiki.archlinux.org/index.php/Nftables ArchWiki] and [https://wiki.gentoo.org/wiki/Nftables Gentoo Wiki]
* {{cite web|title=nftables: a new packet filtering engine|last=Corbet|first=Jonathan|url=https://lwn.net/Articles/324989/|publisher=[[LWN.net]]|date=2009-03-24}}
* {{cite conference|title=nftables – a successor to iptables, ip6tables, ebtables and arptables|last=McHardy|first=Patrick|url=http://people.netfilter.org/kaber/nfws2008/nftables.odp|format=[[OpenDocument|ODP]]|conference=Netfilter Workshop 2008|conference-url=https://workshop.netfilter.org/|date=2008-09-30|archive-url=https://web.archive.org/web/20090322124123/https://people.netfilter.org/kaber/nfws2008/nftables.odp|archive-date=2009-03-22}}
* [https://git.kernel.org/cgit/linux/kernel/git/torvalds/linux.git/commit/?id=5191f4d82daf22b7ee9446f83527d2795e225974 nft_compat extended to support ebtables extensions] (merged in Linux kernel 4.0)
* [https://www.mankier.com/8/nft Extended and enhanced manual for the nft command line tool]

{{Firewall software}}

[[Category:Linux内核功能]]
[[Category:Linux安全软件]]
[[Category:防火墙软件]]

Nftables - 版本历史

imported>Peterxy：​内容扩充

imported>Peterxy：内容扩充