Linux nftables set 怎么按集合匹配多个端口

在 nftables 里，匹配多个端口最清晰的做法是把端口建成 inet_service 类型的命名集合，再在规则中写 tcp dport @web_ports。这样端口清单和放行动作分开：新增 8443 只改集合，不必复制一条规则；如果只需要一次性的小规则，也可以直接使用花括号包住的匿名集合。

命名集合负责“哪些端口属于这一组”，规则负责“匹配后采取什么动作”。常规维护优先使用命名集合，临时且不会单独更新的条件才使用匿名集合。

把端口集合建模成 inet_service

nftables 的集合不是只能放 IP。端口字段属于网络服务端口类型，因此 HTTP、HTTPS、SSH 这类值可以放入同一个 inet_service 集合。匿名集合写在规则内部，例如 tcp dport { 22, 80, 443 } accept，规则删除后集合也随之消失；命名集合有自己的名字，适合由运维配置或自动化任务持续维护。

这个划分解决的是配置耦合问题，而不是绕过协议匹配。tcp dport 只看 TCP 目标端口；如果同一组数字还要放行 UDP，就应明确写出 UDP 条件，不能把一个 TCP 规则想当然地当成双协议规则。

让规则只负责匹配，集合负责维护

下面的示例创建一个同时覆盖 IPv4 和 IPv6 的 inet 表。命名集合先声明类型，再加入端口，最后由 input 链引用。命令中的单引号用于保护 nft 语法里的分号，避免被 shell 当成命令分隔符。

# 创建统一承载 IPv4/IPv6 过滤规则的表
sudo nft add table inet filter

# 建立可独立维护的命名端口集合
sudo nft 'add set inet filter web_ports { type inet_service; }'

# 把 SSH、HTTP、HTTPS 放入集合
sudo nft 'add element inet filter web_ports { 22, 80, 443 }'

# 建立默认丢弃的入口链
sudo nft 'add chain inet filter input { type filter hook input priority filter; policy drop; }'

# 先放行已有连接，再引用端口集合
sudo nft 'add rule inet filter input ct state established,related accept'
sudo nft 'add rule inet filter input tcp dport @web_ports accept'

这里的关键不是命令数量，而是边界：web_ports 只表达端口成员，input 链决定流量方向和默认策略，规则把二者接起来。生产环境已有同名表或链时，不要盲目重复创建；先用 nft list ruleset 看清当前结构，再补集合或元素。

用核对清单避免集合规则失效

命令执行成功只说明语法被接受，还要核对集合是否真的被规则引用。临时调整可以这样做：

# 查看集合当前的类型和元素
sudo nft list set inet filter web_ports

# 临时增加一个应用端口
sudo nft 'add element inet filter web_ports { 8443 }'

# 下线应用后移除该端口
sudo nft 'delete element inet filter web_ports { 8443 }'

# 查看引用集合的入口链
sudo nft list chain inet filter input

要持久化，建议把规则集写入发行版实际加载的 nftables 配置文件，并先用 nft -c -f 配置文件 做语法检查，再按系统服务流程加载。不要假设所有发行版都使用同一个路径；关键是检查“服务加载的文件”和“当前列出的规则集”是否来自同一份配置。

常见问题

一个集合能同时匹配 TCP 和 UDP 吗？

可以复用同一个端口集合，但要写两条明确的协议规则，例如分别使用 tcp dport @web_ports 和 udp dport @web_ports。是否放行两个协议，应按服务实际监听情况决定。

为什么集合里有 443，连接仍然进不来？

先检查链是否命中、默认策略是否为 drop、接口或源地址条件是否在前面丢弃，以及服务是否真的监听目标地址。集合只负责端口成员，不保证后续规则一定接受流量。

什么时候直接用匿名集合？

一条规则里固定且不会单独调整的少量端口适合匿名集合；端口会随发布、下线或自动化任务变化时，使用命名集合更容易核对和回滚。

参考：nftables 官方 man page、nftables Sets 文档。