nftables 的 map 和 set 机制通过哈希查表实现毫秒级策略匹配，map 适用于分级处置（如不同源 IP 执行不同动作），set 适用于统一动作的批量拦截（如黑名单），配合分层链结构可显著提升性能。

快速查找网络访问策略，关键不是翻规则列表，而是让策略本身支持“查表式”响应——nftables 的 map 和 set 就是为此设计的底层机制。它们把策略从线性扫描变成哈希查找，毫秒级定位，尤其适合数万条规则场景。

用 map 实现 O(1) 策略查表

map 是带动作的键值对结构，适合“不同源 IP 执行不同处置”的分级策略：

• 定义映射：比如按 IP 区分封禁等级：nft add map inet filter ip_action { type ipv4_addr : verdict ; }
• 插入策略：nft add element inet filter ip_action { 203.0.113.5 : drop, 198.51.100.12 : reject with icmp type host-unreachable }
• 链中调用：nft add rule inet filter input ip saddr @ip_action —— 一条规则覆盖全部映射，内核直接哈希查表
• 注意：key 类型必须严格匹配（如 ipv4_addr 不兼容字符串），建议用 nft list map -n 查看原始数值，避免解析歧义

用 set 实现单动作批量拦截

set 更轻量，适合“全量统一处置”，比如恶意 IP 黑名单：

• 创建带 interval 的集合（必须！否则 CIDR 网段会被拆成海量单 IP）：nft add set inet filter blacklist { type ipv4_addr \ flags interval \ timeout 12h }
• 添加混合条目：nft add element inet filter blacklist { 192.0.2.100, 203.0.113.0/24 }
• 链中引用：nft add rule inet filter input ip saddr @blacklist drop —— 规则只写一次，集合动态增删不中断服务
• 避免 flush：清空时用 nft delete element 逐条删，或依赖 timeout 自动过期，防止策略真空

配合分层链结构加速定位

查表再快，也要进对链。把策略按命中概率和生命周期分层，减少无效查表：

• fastpath 链：放行 established/related 连接、本地回环、管理网段，约 80% 流量在此终结，不触碰策略表
• policy 链：挂载 map/set 规则，专注租户、服务、接口等多维管控，只处理剩余 20%
• fallback 链：仅保留默认 deny 或限速，无具体策略，保障兜底且不拖慢主路径

验证与调试技巧

查得快，还得查得准：

• 确认 map/set 是否生效：nft list map inet filter ip_action 或 nft list set inet filter blacklist
• 检查规则是否命中：nft list chain inet filter input -a（带 handle 编号），再用 nft monitor trace 抓包看实际匹配路径
• 禁用非必要开销：移除 log target、关闭 counter（除非调试），避免软中断影响查表延迟