nftables 不实现链路聚合，但可通过 oifname、fwmark、IP/端口等维度识别并监控多路径出口流量，配合策略路由实现基于业务意图的精准分流与统计。

nftables 本身不直接实现链路聚合（如 LACP 或 bonding），它也不感知物理链路状态或带宽负载。但它可以配合多路径出口场景，对经由不同接口（如 eth0、eth1、ppp0）转发的流量进行分类标记、统计、限速与路由分流控制，从而支撑上层的监控与调度策略。

关键在于：nftables 是策略执行层，不是链路聚合控制器；它的作用是“看见并干预”已由内核路由/策略路由决定走向不同出口的流量。

---

nftables 如何识别多路径出口流量

多路径链路聚合通常依赖以下机制之一：

• 内核 bonding 驱动（如 mode=balance-xor、802.3ad）
• 策略路由（multiple routing tables + fwmark + ip rule）
• 应用层负载均衡（如 DNS 轮询、客户端选路）

nftables 可通过以下维度区分流量归属路径：

• 出接口（oifname）：最直接方式，适用于 bond 子接口或独立物理口

  nft add rule inet filter output oifname "eth0" counter name eth0_out
  nft add rule inet filter output oifname "eth1" counter name eth1_out

• fwmark 标记：配合策略路由使用，标记来自某路由表的流量

  nft add rule inet filter output meta mark 0x100 counter name path_a
  nft add rule inet filter output meta mark 0x200 counter name path_b

• 源/目的 IP 或端口组合：用于按业务或租户分流后的监控

  nft add rule inet filter forward ip saddr 10.10.1.0/24 oifname "ppp0" counter

⚠️ 注意：若使用 bonding 模式（如 balance-tlb），同一连接可能固定走某物理口，但连接间会分散——此时 oifname 仍有效；而 bond0 接口本身无法区分子路径，需在 slave 接口上抓包或计数。

---

多路径流量监控的实用配置要点

• 启用 per-rule 计数器并命名，便于后续读取统计

  nft add rule inet filter forward iifname "br0" oifname "eth0" counter name to_eth0
  nft add rule inet filter forward iifname "br0" oifname "eth1" counter name to_eth1

  查看：nft list chain inet filter forward -a → 输出含 counter pkts ... bytes ... 和 handle 编号。

• 结合集合（set）动态管理监控目标
  例如定义“关键业务IP池”，统一打标计数：

  nft add set inet filter critical_ips { type ipv4_addr\; }
  nft add element inet filter critical_ips { 192.168.5.10, 192.168.5.11 }
  nft add rule inet filter forward ip saddr @critical_ips oifname "ppp0" counter name critical_ppp0

• 避免重复计数：确保规则顺序合理，用 jump 或 goto 分流到专用监控链，而非堆叠条件

  chain monitor_paths {
      meta mark 0x100 counter name path_a_traffic
      meta mark 0x200 counter name path_b_traffic
      meta mark 0x300 counter name path_c_traffic
      return
  }

• 导出指标供 Prometheus 抓取（需配套脚本）
  利用 nft --json list ruleset 解析 counter 值，或用 nft monitor trace 实时跟踪特定标记流量（调试用）。

---

与策略路由协同构建可监控的多出口系统

真正实现“按路径监控”，推荐组合：

1. 用 ip rule + ip route 将不同业务流量导向不同路由表（如 table 100、200）
2. 在对应路由表中设置默认网关指向不同物理出口
3. 用 ip rule fwmark 0x100 lookup 100 绑定标记与路由表
4. 在应用或代理层（如 Envoy、iptables/nftables）对连接打 fwmark
5. nftables 仅需监听 meta mark 和 oifname，即可精准归因流量路径并计数

这样，监控不再依赖接口吞吐，而是基于业务意图（标记）和路由决策结果，稳定性更高、可审计性强。

---

不复杂但容易忽略：nftables 的计数器是原子累加、无锁设计，高并发下也准确；但需定期采集快照做差值，才能得到速率（bps/pps）。直接读 counter 得到的是累计值。