多少大佬用上了 nftables

[jasonyang9]

最近不是哪啥 CentOS 要凉么，立马叛变到 Debian 阵营，10 版本用的防火墙是 nftables，学了一下，感觉比 CentOS 7 那种 firewalld 与 iptables 混杂在一起要清晰很多，亮点在于它的配置档，保证原子性不说，再也不用造一堆命令行在脚本里面了。

[H0u5er]

碰巧最近也在学习 nftables，有没有好的学习资源推荐？

[arloor]

@H0u5er https://www.arloor.com/posts/centos8-nftables-nat/#%E5%8F%82%E8%80%83%E6%96%87%E6%A1%A3


redhat 文档是好东西

[jasonyang9]

@H0u5er 我是直接薅官方 Wiki 的 https://wiki.nftables.org/wiki-nftables/index.php/Main_Page

[JmmBite]

昨天刚接触，准备改用 nftables

[julyclyde]

firewalld 和 ufw 之类的其实并不是个防火墙软件吧，只是设置 iptables 的工具？

[arloor]

@julyclyde 是的，而 nftables 则是用来代替 iptables,ip6tables 的

[jasonyang9]

是。内核中还是 Netfilter，nftables 对 iptables 命令行语法有兼容层，所以对 WiireGuard 这种会直接调用 iptables 命令修改防火墙配置的情况应该是直接可用的。

nftables 相对 iptables 弱化了表的概念，表只是一个容器了；强化了链的概念，链可以关联到不同的钩子。是不是这样？

[sagaxu]

请教一下改成 nftables 后，docker 需要改配置吗

[Aliencn]

都用云服务器了，新机器第一件事先关闭防火墙，用安全组控制。

[matrix67]

@Aliencn #9 哈哈 我也想说，云服务特别是 vpc 的存在可能弱化了本机上防火墙的控制。都依赖于云的安全组了

[arloor]

@sagaxu 不需要的，兼容的

[pluto1]

@jasonyang9 差不多这个意思，我用下来最舒服的一点是可以把自己的规则放一个自定义表，然后用 hook 挂到最前面。这样像 k8s openstack docker 啥的加规则的时候就不会越过我的规则了（同理我改规则也不会影响这些服务）

[Jirajine]

nftables 虽好，但也要等到这些
https://wiki.nftables.org/wiki-nftables/index.php/Adoption
完成迁移以后再换吧。不然会导致无可避免的混用，那还不如纯 iptables 。

[snuglove]

看着 wiki 视乎还不完善,现在服务器海大都都是红帽系

[xcai]

rhel8 后端已经是 nftables

[Kobayashi]

好像说的 CentOS 8 不用 nftables 似的。nftables 最初就是红帽搞得。

[cubecube]

ntftables 很多配置没网上的教程， 兼容的 iptables 语法转换不完备，centos8 上踩了深坑。
建议观望

[Arnie97]

好不容易搞明白了 iptables，结果又推出了 nftables，真让人头秃