要让 nftables 规则重启后自动生效，需将规则写入 /etc/nftables.conf（或其 include 文件），启用并启动 systemd 的 nftables.service，该服务在启动早期原子加载规则；修改后执行 sudo nft -f /etc/nftables.conf 即可热更新。
要让 nftables 规则在系统重启后自动生效，关键不是“保存到某处就完事”，而是确保规则集能被 systemd 在启动早期准确加载、原子应用，且不依赖网络或用户登录。nftables 本身不自带持久化机制，必须靠配置文件 + systemd 服务协同完成。
确认并使用标准配置路径
nftables 没有默认配置文件，但主流发行版（Debian/Ubuntu/CentOS/RHEL/Fedora）普遍约定使用 /etc/nftables.conf 作为主入口。这个文件可以是完整规则集，也可以只 include 其他模块化文件（如 /etc/nftables/00-base.nft、/etc/nftables/10-ssh.nft）。建议采用后者，便于维护和按需启用。
确保该文件存在且语法正确：
nft -f /etc/nftables.conf —— 若无报错，说明规则可被加载；
nft list ruleset —— 可验证当前是否已生效。
启用 nftables systemd 服务
所有现代 Linux 发行版都提供 nftables.service，它会在 early boot 阶段（早于 network.target）自动加载 /etc/nftables.conf：
- 启用开机自启：sudo systemctl enable nftables
- 立即加载（无需重启）：sudo systemctl start nftables
- 检查状态：sudo systemctl status nftables，应显示 active (exited)，且日志中无 error
注意：该服务默认使用 Type=oneshot，执行完即退出，不常驻进程——这是设计使然，规则已载入内核，无需后台守护。
实现秒级热加载与原子更新
“热加载”不是靠重启服务，而是用 nft 的原子提交能力即时替换整个规则集：
- 修改完 /etc/nftables.conf 或其 included 文件后，运行：sudo nft -f /etc/nftables.conf
- 这条命令会先解析新规则，再一次性原子替换内核中的旧规则集，毫秒级完成，中间无空窗期
- 若只想重载而不改配置文件，可用：sudo systemctl reload nftables（部分发行版支持，本质也是调用 nft -f）
对比 iptables 的 save/restore 流程，nftables 的 -f 方式天然支持事务性，不存在规则残留或半生效风险。
验证持久化与热加载是否真正生效
三步快速验证：
- 清空再恢复：运行 sudo nft flush ruleset，然后立刻 sudo nft -f /etc/nftables.conf，确认策略恢复
- 重启服务：执行 sudo systemctl restart nftables，再 nft list ruleset，规则应完整存在
- 模拟系统重启：重启机器后，第一时间 nft list ruleset，规则必须已就位——这才是真正的持久化闭环
不复杂但容易忽略：/etc/nftables.conf 必须语法严格正确，一个括号错误就会导致服务启动失败，systemd 会静默跳过加载，规则为空白状态。
