nftables规则生效需通过systemd服务触发加载，而非配置文件修改即生效：启动或重载nftables.service时执行nft -f /etc/nftables.conf全量载入，运行时规则与配置文件内容相互独立，语法错误会导致加载失败但服务状态可能仍显示active。

系统加载 nftables 配置不是“改完文件就生效”，而是有明确的触发路径和优先级顺序。关键在于区分配置文件位置、加载时机和实际生效来源三者关系。

默认配置文件路径与用途

/etc/nftables.conf 是大多数发行版（如 Debian/Ubuntu、RHEL/CentOS）的主配置文件，但它的作用仅是静态定义，不自动生效。系统启动时或服务重启时，nftables 服务会尝试读取并加载它。不过：

• 该文件必须语法正确，否则加载失败且无提示（只报错但不中断服务）
• 某些系统（如较新 Ubuntu）可能默认为空或仅含注释，需手动填充规则
• 若存在 /etc/nftables.conf.d/*.nft，部分 systemd 单元会递归加载（需确认服务单元是否启用该功能）

服务加载机制：systemd 如何触发规则载入

nftables 服务（nftables.service）的核心行为是执行 nft -f /etc/nftables.conf。它不监控文件变化，也不热重载：

• 启动服务：systemctl start nftables → 加载 /etc/nftables.conf
• 重载服务：systemctl reload nftables → 重新执行 nft -f，清空旧规则后全量载入
• 重启服务效果等同于 reload，但可能短暂中断连接（尤其缺 established 规则时）

注意：systemctl restart nftables 不等于“平滑更新”，而是先 flush 再 load，务必确保配置完整可用。

运行时规则 vs 配置文件：两个独立世界

内存中生效的规则集（nft list ruleset 输出）和 /etc/nftables.conf 的内容可以完全不同：

• 用 nft add rule 临时添加的规则带 @handle，关机即丢，不会写入配置文件
• 修改 /etc/nftables.conf 后不执行 nft -f 或 reload，改动完全无效
• 服务启动失败（如语法错误）会导致规则集为空，nft list ruleset 返回空，但服务状态可能显示 active

其他可能影响配置的路径

除主配置文件外，以下路径在特定场景下参与加载流程：

• /run/nftables.conf：某些云镜像或容器环境用作运行时覆盖配置（优先级常高于 /etc）
• /usr/share/nftables/：存放示例模板或模块化片段（如 nat-helper.nft），需显式 include 才生效
• /etc/sysconfig/nftables（RHEL 系）：旧式变量定义，现代版本已弃用，仅作兼容保留

所有 include 路径都要求在 /etc/nftables.conf 中用 include "/path/to/file.nft" 显式声明，且被包含文件也需语法合规。