Linux nftables 丢弃规则的内核日志记录与前缀配置

nftables 可以在一条规则中同时写 log prefix "..." 和 drop。把需要限制日志范围的匹配条件放在 log 前，将 drop 放在日志动作之后，就能为命中的丢弃规则增加可检索前缀。单独的 log 不会丢弃数据包；单独的 drop 也不会自动生成这类日志。

官方地址：https://netfilter.org/projects/nftables/

官方日志指南：https://wiki.nftables.org/wiki-nftables/index.php/Logging_traffic

日志能力解决的是哪一层问题

排查“连接没到应用”时，应用日志为空并不能证明防火墙没有命中。规则计数、数据包日志和应用日志记录的是不同层次。这里增加的是防火墙规则对应的内核日志，不需要让应用收到已被丢弃的包。

这是 nftables 现有能力的使用说明，不是一项新发布功能。示例仅针对一个测试 TCP 端口，不扩展到按网络接口限制流量。选定前缀 nft-demo-drop: ，可以让日志检索与规则命名保持一致；末尾空格让前缀和后面的包字段更容易分辨。

把匹配条件、前缀和 drop 放进同一条规则

下面是独立测试表的配置文件 demo-log.nft。测试端口为 65432，示例表名为 demo_log。它不是完整主机防火墙策略：基础链默认放行未命中的包，其他已有链仍可能影响流量。只在可回退的测试环境使用，且表名应尚不存在。

# 独立测试表，只展示一个端口的记录与丢弃。
table inet demo_log {
    chain input {
        type filter hook input priority 0; policy accept;
        # 条件先限定目标端口；日志动作后跟终止性的 drop。
        tcp dport 65432 counter log prefix "nft-demo-drop: " level info drop
    }
}

规则中的 counter 统计到达这里并满足端口条件的数据包；log 发出日志；drop 给出丢弃裁决。规则从左往右求值，不能把端口条件放到日志之后，再认为只有这个端口会被记录。prefix 是检索文本，不会改变匹配范围，也不是权限控制。

# 在测试 Linux 主机加载上述配置，不清空其他表。
sudo nft -f demo-log.nft
# 阅读本表规则和计数；本例不在文章生成环境执行这些命令。
sudo nft list table inet demo_log
# 测试结束只删除本例独立表，不使用 flush ruleset。
sudo nft delete table inet demo_log

加载动作通常需要相应管理权限。不要反复对同名现有表直接加载示例来“补日志”；实际环境应由管理该规则集的配置来源修改，避免重复规则或与自动化管理器冲突。

按前缀读取内核日志

这里使用普通 log prefix，没有配置 group。普通形式把包信息写入内核日志；配置 log group 则走 NFLOG 用户态订阅路径，应配套 ulogd 等接收者，不能期待完全相同的查看入口。

# 在使用 systemd journal 的主机查看本次启动的内核日志。
# 固定字符串匹配前缀，避免把标点误当正则表达式。
sudo journalctl -k -b --no-pager | grep -F -- 'nft-demo-drop: '

应从受控测试流量和规则命中情况判断是否出现记录；本文没有提供伪造的内核日志输出。没有匹配结果时，分别检查：流量是否到达本机 input hook、前面的规则是否已经终止处理、日志读取权限和系统的日志采集设置。应用层发起一次连接，也可能产生多个包，因此包日志条数不能直接当作连接数。

如果系统没有使用 systemd journal，可从该发行版的内核日志或 syslog 配置找入口；不要把某个固定文件路径当作所有 Linux 主机的通用日志位置。

限制日志频率时独立保留丢弃规则

高频丢弃流量可能产生大量日志。若将 limit 与 drop 全放在一条规则，限速条件不再匹配的包就不会执行该规则后面的 drop。想限制的只是日志时，应保留一条不受日志限速影响的丢弃规则。

下面两行用于替换前面的单条端口规则，不要保留旧的无条件日志规则再追加。它们位于同一个 input 链中，日志规则在前，兜底丢弃规则在后，中间没有其他放行规则。

# 只对日志设置令牌桶速率，保留突发容量。
tcp dport 65432 limit rate 3/second burst 6 packets log prefix "nft-demo-drop: " level info
# 对该端口的丢弃不依赖日志是否还有额度。
tcp dport 65432 counter drop

日志语句不是终止动作，记录后仍可继续匹配后面的丢弃规则。达到日志限制后，第一条规则不记录，第二条仍负责丢弃。这里的速率是该限速实例共享的令牌桶约束，不代表每个源地址各有独立额度，也不表示日志每秒严格均匀输出。限速后的日志只是观测样本，不能代表全部丢弃数量。

旧写法对比与采用边界

从 iptables 思路迁移时，不必为了“记录”和“裁决”机械拆成两条 nftables 规则；只有需要独立约束日志频率等职责时，再明确拆分。修改前先确定链的用途、规则位置、管理来源及回退方式；不要把排障日志示例当作完整访问控制配置。

配置了默认 policy drop 就会自动打印包吗？ 不会。要观察默认丢弃之前的流量，需要在合适位置配置显式日志规则，且不能遮挡已有的允许规则。

前缀能写中文吗？ 运维检索一般采用短而稳定的 ASCII 标识，避免编码与采集端格式处理差异；不要在前缀放账号、密钥等敏感内容。

有计数增长却没看到每个包的日志怎么办？ 先区分规则限速、内核日志处理和采集保留策略。计数与日志是不同观测手段，不应据此直接断定 drop 没有生效。

规则语法参考：https://netfilter.org/projects/nftables/manpage.html。确认普通日志与 NFLOG 的路径区别、把条件放在日志动作之前，并将日志限速与丢弃职责分开，是这类配置最需要守住的三个要点。