nftables 动态集合怎样让临时封禁规则自动过期为什么结果为空或不符合预期

临时封禁自动过期，应把期限配置在 nftables 命名集合的元素上，让规则长期引用集合。集合声明 flags timeout 并设置默认 timeout，添加元素时也可以指定单独期限。集合变空可能恰好说明元素已到期；长期不空则要检查是否有写入逻辑持续刷新。

这是 Linux 包过滤能力，与浏览器 API 无关。下面按能力、环境支持、最小配置和边界组织说明。官方手册地址：https://netfilter.org/projects/nftables/manpage.html。

1. 让集合元素过期而不是删除整条规则

inet 表包含 IPv4 集合 temp4 和 drop 规则，地址元素属于集合，timeout 是元素的期限设置，expires 表示查询时剩余期限。规则无需跟着每个地址的生命周期反复增删；地址不再是有效成员后，这条集合匹配不会再因该地址而成立。

“动态集合”还可能专指从数据包路径更新的集合，那类场景通常结合 dynamic 标志。下面由命令行维护元素，不需要为了名称中有“动态”就盲目添加所有标志。用户态 nft 工具、运行内核与发行版支持必须配套，命令失败应保留原始错误。

2. 在独立命名空间建立最小配置

将配置保存为 expiry_demo.nft。示例只在新建的网络命名空间中加载，不更改主机既有防火墙；不要把清空整个 ruleset 当作实验初始化动作。

# 仅装入下文创建的隔离网络命名空间
table inet expiry_demo {
    set temp4 {
        type ipv4_addr
        flags timeout
        timeout 30s
        size 1024
    }
    chain input {
        type filter hook input priority 0; policy accept;
        # 规则长期存在，元素到期后不再匹配该地址
        ip saddr @temp4 counter drop
    }
}

再按以下命令建立对象、添加元素并查询。命名空间中没有接入测试流量，因此能观察期限语义，但不能据此声称已完成连通性验证或真实封禁测试。本文没有执行这些命令。

# 需要 root 权限；名称专用于本次实验，不操作主机现有规则集
sudo ip netns add nft_expiry_demo
sudo ip netns exec nft_expiry_demo nft -f expiry_demo.nft

# 文档示例地址不代表真实攻击源；只添加一项带期限元素
sudo ip netns exec nft_expiry_demo nft add element inet expiry_demo temp4 '{ 192.0.2.44 timeout 20s }'
sudo ip netns exec nft_expiry_demo nft list set inet expiry_demo temp4

# 稍后重新查询观察 expires 或元素消失，不需要删除匹配规则
sudo ip netns exec nft_expiry_demo nft list table inet expiry_demo

# 实验结束只移除本次命名空间，连同其中规则一起清理
sudo ip netns del nft_expiry_demo

添加后立即查询，应能看到 192.0.2.44 以及期限信息；示例元素使用 20s，覆盖集合默认的 30s。等待足够时间后，地址应不再作为有效成员参与匹配。垃圾回收负责回收过期状态，不能把回收调度间隔当作继续封禁时长。

若第一次查询已经为空，先检查是否晚于元素期限、是否处于同一个命名空间，以及 family、table 和 set 名称是否一致。inet 表支持双栈并不代表 ipv4_addr 集合能保存 IPv6；IPv6 需要对应类型与 ip6 saddr 匹配。

3. 区分到期、刷新与规则命中

控制脚本可能使用 add 操作或数据包路径 update 操作；它们与元素期限的关系不同。官方数据包路径说明指出，update 会刷新已有元素的期限，add 不会因为再次看到同一元素就刷新期限。不要把这条数据包路径语义无条件套到所有用户态增改命令上。

如果需求是“从首次加入开始封禁二十秒”，持续刷新会让行为偏离预期；若需求是“停止触发后二十秒解除”，滑动刷新才接近目标。更重要的是检查规则位置：若前面的 drop 已终止处理，后面的更新语句就不会处理这个包；反过来，无条件刷新每个被封地址的包，也可能导致活跃地址一直不离开集合。

集合查询用于看元素期限，规则计数用于看匹配流量，两者不能互相替代。规则计数为零可能只是测试包没经过该 hook、实际源地址变化，或更早的规则已作出决定。元素到期也不保证连接立即恢复：其他表链、连接跟踪相关策略或其他安全组件仍可能影响通信。

生产接入时，应保留管理来源的明确策略、限制集合容量，并让控制脚本记录加入原因与期限。内存中的临时元素不会因为配置文件里只有空集合声明就自动持久化，服务重载、规则恢复和主机重启的行为需要单独定义。不要让恢复脚本把过期的地址当成新记录重新续期。

为什么设置 timeout 后没有自动删除整条 drop 规则？

自动到期的是地址元素，规则继续服务后续元素。这正是集合方案减少规则反复增删的目的。

为什么一直显示剩余期限接近初值？

检查 update 或外部维护器是否不断写入。先明确期限是固定封禁窗口还是滑动窗口，再决定刷新策略。

命令报集合已满怎么办？

核对 size、加入频率和元素存活时间，找出异常写入。不能只无限增大上限而忽略资源预算。

官方数据包路径更新说明：https://wiki.nftables.org/wiki-nftables/index.php/Updating_sets_from_the_packet_path。