Linux防火墙性能优化核心是减少每包匹配成本和绕过不必要处理：1.规则置顶（如established连接）、合并端口、清理僵尸规则、默认DROP；2.用ipset/nftables set替代线性匹配；3.通过raw表notrack绕过conntrack；4.迁至nftables实现原子更新与动态策略。
大规模规则集下，Linux 防火墙性能瓶颈往往不是 CPU 或带宽，而是规则匹配路径过长、连接跟踪压力过大、以及线性扫描带来的延迟。优化核心在于“减少每包匹配成本”和“绕过不必要处理”。
规则顺序与结构精简
iptables/nftables 按序遍历，越靠前的规则命中率越高，整体开销越低。关键做法：
- 把 ct state established,related -j accept 放在 INPUT/OUTPUT 链最顶端——已建立连接占比通常超 80%，可跳过后续全部规则
- 将高频业务端口（如 22、80、443）合并为单条规则：nft add rule ip filter input tcp dport {22,80,443} accept
- 删除僵尸规则：用 iptables -L --line-numbers 或 nft list ruleset 审计，定期清理未生效或长期无命中记录的规则
- 默认策略设为 DROP，避免末尾冗余 reject 规则；所有放行规则必须显式声明，不依赖隐式允许
用 ipset 替代离散 IP/端口规则
当白名单/黑名单含数百以上 IP 或网段时，逐条 iptables 匹配是 O(n) 线性查找；ipset 使用哈希或树结构，查找接近 O(1)。
- 创建高效集合：ipset create trusted_nets hash:net family inet hashsize 4096 maxelem 65536
- 批量导入：ipset restore < trusted_nets.set（文件含多行
add trusted_nets 10.10.0.0/16） - 在规则中引用：iptables -A INPUT -m set --match-set trusted_nets src -j ACCEPT
- 对动态更新场景，优先用 nftables 的 set 类型（支持 timeout、auto-merge），比 ipset 更轻量
绕过连接跟踪，降低 conntrack 压力
conntrack 是状态防火墙的性能热点，尤其在 UDP 流量（DNS、健康检查）、大流量转发或隔离网段间通信时，完全无需状态跟踪。
- 在 raw 表中标记跳过：nft add rule ip raw PREROUTING ip daddr @local_nets notrack
- 对明确无状态服务（如 DNS 查询响应、负载均衡探针）直接 notrack：nft add rule ip raw PREROUTING udp dport 53 notrack
- 调小超时值释放内存：sysctl -w net.netfilter.nf_conntrack_tcp_timeout_established=300（默认 432000 秒）
- 若业务允许，将 nf_conntrack_max 控制在实际并发连接数 1.5 倍内，避免哈希桶碰撞与内存浪费
迁移到 nftables 并启用原子更新
iptables 多表多链易导致规则冲突与刷新延迟；nftables 统一语法、单表结构、原子替换，更适合大规模动态策略。
- 用 nft flush ruleset 清空后一次性加载完整规则集，避免中间态不一致
- 利用 named map 实现运行时策略注入：nft add map ip filter blackhole_map { type ipv4_addr : verdict; }，再通过 nft add element 动态增删
- 配合 systemd 服务单元，用 nft -f /etc/nftables.conf 实现配置热重载，毫秒级生效
- 禁用 firewalld/ufw 等封装层——它们在高规则密度下会引入额外解析开销和锁竞争
