nftables 通过表、链、集合、映射和用户自定义链协同实现模块化规则管理。表隔离策略域，用户链支持复用与跳转，集合与映射驱动动态策略，配置文件分片支持原子加载与灰度发布。

nftables 的模块化规则管理不是简单地把规则拆开写，而是通过表、链、集合、映射和用户自定义链的协同设计，让策略真正具备可复用、可隔离、可灰度的能力。它解决的不是“能不能分”，而是“怎么分才不破坏语义、不影响性能、不增加运维负担”。

表（table）作为策略域隔离单元

每个表对应一个明确的业务或安全域，比如 inet filter 专注主机入向防护，inet nat 独立处理地址转换，inet monitor 专用于流量审计。这种划分避免了所有规则挤在一张表里导致逻辑混杂、修改牵一发而动全身的问题。

• 不同表之间天然隔离，互不影响；更新 nat 表不会触发 filter 表重载
• 可按角色分配权限：安全团队管 filter 表，网络团队管 nat 表
• 备份与回滚粒度更细，例如只导出并恢复 nft export table inet filter

用户链（regular chain）实现策略复用

基础链（如 input）只能挂一次，但你可以创建多个用户链，把通用逻辑封装进去，再从基础链跳转调用——类似函数调用。

• 例如定义 web-allow 链集中管理 HTTP/HTTPS/健康检查端口，后续新增服务只需 nft add rule inet filter input jump web-allow
• 同一套 geo-block 链可在 input 和 forward 中重复引用，无需复制规则
• 链可带参数（如命名空间前缀），支持多租户场景下策略隔离

集合（set）与映射（map）驱动动态策略

把 IP、端口、协议等静态值抽离成命名集合，规则中只引用名称。运维变更时只需更新集合内容，不触碰主策略逻辑。

• nft add set inet filter trusted_ips { type ipv4_addr; }，然后在规则中写 ip saddr @trusted_ips accept
• 支持超时自动清理：type ipv4_addr; timeout 1h;，适合临时放行或风控封禁
• 映射（map）可做条件分发，例如根据源 IP 查映射表决定跳转到不同处理链：ip saddr . tcp dport map @service_routes

配置文件分片与原子加载

nftables 支持将规则分散在多个文件中，用 nft -f 统一加载。整个过程是事务性的：要么全部生效，要么全部失败，不会出现中间态。

• 典型结构：/etc/nftables/base.nft（基础链+默认策略）、/etc/nftables/services/web.nft（Web服务规则）、/etc/nftables/blocks/country-cn.nft（地域封锁）
• 上线新策略时，只需 nft -f /etc/nftables/services/api.nft，不影响其他模块
• CI/CD 流水线可对单个模块做语法校验、diff 对比、灰度发布