nftables 防火墙教程：Ubuntu/Debian VPS 安全规则与回滚
从 SSH 防锁死开始，为 Ubuntu 或 Debian VPS 配置 nftables 入站白名单、IPv6 必需流量、语法检查、持久化和可回滚的上线流程。
nftables 防火墙教程：Ubuntu/Debian VPS 安全规则与回滚
给公网 VPS 加防火墙，最危险的并不是少写一条规则，而是在远程会话里直接启用错误规则，把自己的 SSH 一并挡在门外。本教程以 Ubuntu、Debian 常见服务器为例，给出一套先验证、可回滚、再持久化的 nftables 流程。它适合只开放 SSH、HTTP 和 HTTPS 的基础主机；如果服务器运行 Docker、Kubernetes、面板或 VPN，应先梳理这些程序自动维护的转发与 NAT 规则，再决定如何合并。系统补丁仍是基础，可同时参考Ubuntu VPS 自动安全更新教程。
上线前先保住 SSH 入口
先保持当前 SSH 会话不退出，并另开一个终端用于验证。执行 sudo nft list ruleset 保存现状，再用 sudo ss -lntup 确认实际监听端口。若 SSH 不是 22 端口，后面的规则必须替换为真实端口；若通过云厂商安全组访问，还要确认安全组没有与主机规则冲突。
安装工具可以使用 sudo apt update && sudo apt install nftables。不要立即启用服务。先准备 /etc/nftables.conf.new，并用 sudo nft -c -f /etc/nftables.conf.new 做纯语法检查。上线前还应安排自动回滚，例如用独立 root 会话创建一次性任务，在数分钟后恢复已备份的规则；确认新连接正常后再取消回滚。自动任务的基本管理方式可参考systemd 服务自动重启教程，但防火墙回滚脚本应单独验证。
建立最小入站规则集
基础规则集可使用 table inet filter，让同一张表同时处理 IPv4 与 IPv6。input 链设置 type filter hook input priority 0; policy drop;，随后按顺序允许回环接口、已建立或关联连接，再允许必要的 ICMP/ICMPv6，最后开放明确的业务端口。服务器常见端口集合是 { 22, 80, 443 }，但只应保留真实需要的端口。
已建立连接规则可写为 ct state established,related accept，回环规则可写为 iifname lo accept。不要粗暴屏蔽全部 ICMPv6，因为邻居发现、路径 MTU 发现等机制依赖它；更稳妥的做法是参考 nftables 官方服务器规则集，允许必要控制报文并对异常流量做限制。若管理入口只有固定地址，可以给 SSH 再增加来源地址条件，但要考虑办公网络地址变化以及 IPv6 管理地址。
校验、加载与新连接验证
语法通过后，先导出当前规则：sudo nft list ruleset > /root/nftables-before-change.conf。然后加载新文件，并立刻从第二个终端建立新的 SSH 连接。新会话成功后，再分别检查网页、DNS、时间同步、软件仓库和监控上报。这里只验证服务是否可达，不应把单次检查当作长期网络质量结论。
查看生效结果可运行 sudo nft -a list ruleset，其中 -a 会显示规则句柄，便于精确删除单条规则。临时修正时优先按句柄修改，不要反复刷新整张表。确认无误后，把已验证文件替换为 /etc/nftables.conf，执行 sudo systemctl enable --now nftables，最后重启一次测试开机恢复。
日志、限速与运维边界
默认丢弃前可以添加带速率限制的日志规则，但不要记录每个被拒绝的数据包，否则日志可能迅速占满磁盘。日志前缀保持固定，方便在 journald 或集中日志平台检索。对 SSH 的连接限制只能降低扫描噪声，不能替代密钥登录、禁用密码认证、及时更新与最小权限。
Docker 等软件可能使用自己的 nftables 或兼容层规则；直接执行 flush ruleset 可能破坏容器网络。生产服务器应在维护窗口先确认现有表、链及其所有者，只调整自己管理的表。每次改动都保留配置版本、变更原因与回滚文件。这样，防火墙才是可审计的配置，而不是只能依靠当前 SSH 会话维持的临时状态。
