nft describe 用于解析并展示规则在内核中对应的字节码结构与语义含义，属调试验证工具，不测量性能；可间接判断效率：如出现 payload 解析、重复 cmp 或缺失 set 优化，提示潜在瓶颈。
nft describe 不是用于核对防火墙内核执行效率的指令，它本身不测量性能、不输出耗时或吞吐量数据，也不能直接反映规则匹配速度或CPU开销。它的核心作用是**解析并展示某条规则在内核中实际对应的字节码（bytecode）结构与语义含义**，属于调试与验证类工具，而非性能分析工具。
理解 nft describe 的真实用途
该命令帮助你确认：你写的高级语法规则，是否被内核正确翻译成预期的底层操作。例如：
- 检查是否真的用了集合（set）而非逐条比较；
- 验证协议字段提取（如 tcp dport）是否落在正确偏移位置；
- 确认连接跟踪状态（ct state）是否被编译为高效跳转逻辑；
- 识别冗余条件是否被优化掉，或意外引入了慢路径（如涉及 payload 深度解析）。
如何用 describe 辅助性能判断
虽然它不直接报“用了多少微秒”，但结合经验可间接推断效率瓶颈：
- 若输出中出现 payload 或 meta 类长链指令，说明规则依赖包内容解析，比纯五元组匹配慢；
- 看到多个 cmp 连续比较同一字段（如反复比 IP），提示未使用 set/mapping，应合并；
- 若 ct state 出现在规则开头且无其他复杂条件，说明走的是快速连接跟踪路径；
- 发现大量 immediate 加载常量，通常无害；但若伴随多次 lookup 且 key 宽度大（如 /128 IPv6），可能影响缓存命中率。
真正评估执行效率的替代方法
要量化 nftables 性能，需组合以下手段：
- 用 nft list ruleset -a 查看规则序号，再配合 perf record -e net:netif_receive_skb 抓包路径热点；
- 通过 /proc/net/nf_conntrack 和 conntrack -S 观察连接跟踪负载；
- 压测时用 ss -i 看 TCP RTT 与重传变化，反推规则处理延迟；
- 启用 nft monitor trace 抓取单个数据包完整匹配路径，确认是否提前终止或误入慢链。
一个实用检查流程
假设你有一条防暴力破解规则：
nft add rule inet filter input tcp dport 22 ct state new limit rate 5/minute burst 10 packets counter name ssh_limit
运行：
nft describe 'tcp dport 22 ct state new limit rate 5/minute'
观察输出是否含 limit 对应的 hash 表查找指令 —— 有则说明限速走的是高效哈希路径；若显示为计数器+时间戳轮询，则可能退化为低效实现（常见于旧内核或 misconfigured limit 参数）。
