nftables 为容器主机建立最小入站规则

容器主机的最小入站规则，核心是把“发往主机”的流量和“转发给容器”的流量分开处理：主机服务放在 input 链，容器发布端口先确认是否经过运行时维护的 forward 链。主机侧通常只保留回环、已建立连接、管理网段 SSH，以及明确公开的 80/443 端口，其余默认丢弃。

官方资料：https://wiki.nftables.org/wiki-nftables/index.php/Simple_ruleset_for_a_server

先分清 input 和 forward，再写规则

nftables 的基础链挂到 Netfilter hook 后才会接收对应路径的报文。发往主机本地进程的报文进入 input；没有发往本机、需要继续转发的报文进入 forward。因此，主机上的 SSH 规则不能代替容器发布端口的转发策略，反过来也一样。

这一区分也是最容易误判的地方：访问主机上的反向代理时，报文可能命中主机的 80/443；访问被 Docker、Podman 或 CNI 发布的容器端口时，报文可能经过 DNAT 后进入转发路径。先用 nft list ruleset 查看现有链，再决定是否增加 forward 规则，避免覆盖运行时的网络模型。

用一个 inet 表收敛主机最小入站面

下面的示例只建立主机过滤表，不执行 flush ruleset，适合需要保留容器运行时 NAT 和其他管理规则的机器。示例假定管理网段是 10.20.0.0/16，请换成实际的跳板机或办公网段。

table inet host_filter {
    chain input {
        type filter hook input priority filter; policy drop;

        # 允许已建立和关联连接返回，避免回包被默认策略丢弃
        ct state established,related accept

        # 异常连接先丢弃，减少后续规则的歧义
        ct state invalid drop

        # 本机进程之间的回环通信不应经过公网入口限制
        iifname "lo" accept

        # 仅允许管理网段通过 SSH 进入主机
        ip saddr 10.20.0.0/16 tcp dport 22 accept

        # 只公开反向代理或网关实际监听的 Web 端口
        tcp dport { 80, 443 } accept

        # 计数后丢弃其余主机入站流量，便于后续排查
        counter drop
    }
}

这组规则的重点不是端口数量，而是允许条件有明确边界。SSH 不应默认对所有来源开放；如果主机并不直接提供 HTTP 服务，也不要因为容器使用了 80/443 就把这两项放进主机 input。IPv6 主机还应单独设计必要的 ICMPv6 类型，否则邻居发现和路径发现可能被误伤。

先检查再整体加载，给远程主机留恢复路径

远程操作时先准备云厂商控制台、串口或第二条管理链路。语法检查通过后再整体加载，加载完成立即查看表和计数器：

# 先检查语法，不改变当前内核规则
nft -c -f /etc/nftables.d/host-inbound.nft

# 一次性加载文件，避免逐条修改留下半套策略
nft -f /etc/nftables.d/host-inbound.nft

# 查看实际生效的表、链和计数器
nft -a list table inet host_filter

如果 nft -c 报错，先修正 family、链类型或集合语法，不要用逐条命令“试到能跑”为止。生产环境还要确认当前发行版如何持久化 nftables 文件；服务名称和加载目录会随发行版变化，不能把某个系统的路径当成所有容器主机的通用答案。

规则不生效时按路径和计数器排查

容器网络的最小策略不能只看宿主机的 input：若要限制外部访问容器，应在确认运行时链顺序、转发接口和 DNAT 目标后，再为 forward 设计独立规则，并保留已建立连接和必要的容器出站路径。最后用 nft list ruleset -a 对照计数器，确认测试流量确实命中了目标规则。

常见问题

为什么放行 80 端口后容器服务还是不通？

因为被发布的容器端口常在 DNAT 后走 forward，而不是主机本地 input。应先确认端口映射、NAT 和容器运行时维护的转发链。

可以直接把 forward 的默认策略改成 drop 吗？

不能直接照搬主机入站策略。容器运行时可能依赖已有的 forward 链、桥接接口和出站回包；先导出规则集并确认链顺序，再做小范围变更和回滚测试。

最小入站不是“只写一条 drop”，而是让每条允许路径都能对应到主机服务、管理来源或容器转发边界；先分清路径，再用计数器验证规则真的接住了目标流量。