怎么使用 nft 工具代替

使用 nft（NetFilter Table）工具替代旧版 iptables，你需要遵循以下步骤：

1. **安装 nftables**：首先确保你的系统已更新并安装了最新版本的 nftables。对于基于 Debian 或 Ubuntu 的系统，可以使用 apt-get 或 snap 命令安装：

   sudo apt update && sudo apt install nftables

2. **停止 iptables服务**：在开始迁移前，先关闭并禁用 iptables 服务，避免冲突：

   sudo systemctl stop iptables
   sudo systemctl disable iptables

3. **检查和转换规则**：使用 `nft list ruleset` 查看现有的iptables规则，并使用 `nft convert` 将它们转换为 nftables 格式。这可能需要逐条规则手工操作，或者使用脚本辅助。

4. **配置 nftables**：将转换后的规则添加到 nftables 中，通过命令如 `nft add rule` 来完成。例如，如果你有 `iptables -A INPUT -p tcp -d 192.168.1.0/24 --dport 80 -j ACCEPT`，等价的 nftables 规则是：

   nft add rule filter input tcp dport 80 drop

5. **验证并测试**：确保新规则设置无误后，你可以通过 `sudo nft list tables` 和 `sudo nft list rules` 检查 nftables 的状态，并对流量进行测试。

6. **清理和确认**：最后，彻底删除 iptables 文件和相关配置文件，确认 nftables 正常运行。

记得备份重要的规则，以防万一。同时，由于 nftables 的语法略有不同，熟悉新工具的手册页会很有帮助。