nftables list ruleset怎样按地址族导出配置

在 Linux 上查看 nftables 时，直接执行 nft list ruleset 会把当前规则集整体打印出来；如果只想处理 IPv4、IPv6 或 inet 规则，可以在命令后追加地址族。需要保存配置时，原生 nft 文本适合人工阅读和后续复核，--json 输出则更适合脚本消费。

官方地址：https://netfilter.org/projects/nftables/manpage.html

按地址族导出 nftables 配置的核心是把范围写在 list ruleset 后面：例如 nft list ruleset ip 只查看 IPv4 规则，nft --json list ruleset ip6 则把 IPv6 规则集保存为结构化 JSON。

先分清规则集、地址族和单表

nftables 的层级不是“所有规则平铺在一个文件里”。ruleset 表示当前内核规则集，地址族用于限定规则适用的协议族，table 是地址族中的顶层容器，chain、set、map 和 rule 再挂在 table 下面。

这三种范围不要混为一谈：地址族过滤仍可能包含该族下的多张 table；单表查看更窄，而完整规则集才覆盖所有已存在的地址族。

用地址族参数查看规则集

官方语法允许把地址族放在 list ruleset 后面。常见名称包括 arp、bridge、ip、ip6、inet、 netdev 和 route，具体要以机器上实际创建的 table 为准。

# 只查看 IPv4 地址族下的规则集
nft list ruleset ip

# 只查看 IPv6 地址族下的规则集
nft list ruleset ip6

# 查看同时承载 IPv4/IPv6 规则的 inet 地址族
nft list ruleset inet

地址族参数是筛选范围，不是把现有规则复制到另一个族，也不会改变内核规则。若指定的地址族当前没有 table，输出可能为空；这时不要把“没有输出”直接理解为 nft 命令失败。

把指定地址族导出为可读配置

如果目标是保存给人阅读、评审或后续用 nft -f 载入，直接把命令输出重定向到文件即可。输出中包含对应范围内的 table、chain、set、map 和 rule 定义。

# 将 IPv4 规则集保存为原生 nft 文本
nft list ruleset ip > nft-ipv4.nft

# 将 inet 规则集保存为可读备份
nft list ruleset inet > nft-inet.nft

# 先查看文件大小和开头内容，确认重定向确实生成了文件
wc -c nft-inet.nft
sed -n '1,80p' nft-inet.nft

原生文本的优势是接近 nft 命令本身的配置语法，适合人工审阅。需要注意的是，导出的文件描述的是某个时间点的规则集；如果导出后规则仍在变化，文件不会自动同步。

完整规则集的输出设计上可以作为 nft -f 的输入，但按地址族导出的文件只包含该范围，恢复前应确认目标主机的地址族、table 名称和依赖对象都符合预期。

需要程序处理时改用 JSON

脚本不应该依赖原生文本里的缩进和字符串排列。nft 提供 --json 选项，把规则集表示为结构化数据；它适合保存给配置采集器、差异工具或自定义解析程序。

# 按 IPv6 地址族导出结构化 JSON
nft --json list ruleset ip6 > nft-ipv6.json

# 导出 inet 规则集的 JSON，供后续脚本读取
nft --json list ruleset inet > nft-inet.json

# 用 jq 做最小的格式检查；这里只读取顶层 nftables 数组
jq 'if (.nftables | type) == "array" then "规则集结构存在" else error("缺少 nftables 数组") end' nft-inet.json

这里的 JSON 仍然是 nft 对规则集的表示，不是另一套独立配置语法。脚本应围绕官方 JSON schema 或实际字段建立解析逻辑，并把“没有 table”“命令权限不足”和“JSON 文件损坏”分成不同的错误分支。

空输出、权限和恢复边界

空输出：指定地址族没有已创建的 table 时，结果可能为空。先用 nft list tables 查看当前有哪些 table，再决定使用 ip、ip6 还是 inet。

# 先列出当前存在的 table，确认地址族和表名
nft list tables

# 只读取某个地址族的 table 列表，缩小排查范围
nft list tables inet

权限：读取规则集通常需要合适的网络管理权限。若普通用户返回权限错误，应调整执行身份或授权边界，不要通过把错误输出混进备份文件来掩盖问题。

恢复：原生文本可以作为后续载入的输入，但“导出成功”不等于“目标主机可以无条件恢复”。目标内核、nft 版本、引用的设备名、外部 set 内容和现有 table 冲突，都可能影响载入结果。正式变更前要把导出文件当作待审配置，而不是未经复核的线上操作命令。

范围：如果只导出了 ip，文件不会包含 ip6 或独立 inet table。需要完整备份时使用不带地址族的 nft list ruleset，需要脚本分族处理时再分别保存。

一张速查表

常见疑问

为什么 nft list ruleset ip 看不到 inet 里的规则？

因为 ip 和 inet 是不同的地址族范围。需要查看 inet table 时应显式使用 nft list ruleset inet，不能期待 IPv4 过滤器自动展开 inet。

原生文本和 JSON 应该选哪个？

人工阅读、审阅和接近 nft 配置语法的备份优先原生文本；脚本解析、差异比较和自动采集优先 JSON。两者都应记录导出的地址族和时间。

导出的 nft 文件能直接恢复吗？

它可以作为 nft -f 的输入方向，但仍需先检查地址族、table 冲突、设备名和外部依赖。分族导出的文件只覆盖所选范围，不能代替完整规则集备份。

总结

nft list ruleset 负责查看当前规则集，追加地址族参数可以把范围缩小到 ip、ip6 或 inet。保存给人看时使用原生 nft 文本，交给程序处理时加上 --json；遇到空输出先确认 table 的地址族，再把权限、版本和恢复冲突纳入后续操作边界。