nftables

  • nftables ist das moderne, hochleistungsfähige Firewall- und Paketfilter-Framework des Linux-Kernels, das als offizieller Nachfolger von iptables, ip6tables, arptables und ebtables entwickelt wurde. Es vereint all diese alten, getrennten Werkzeuge in einer einzigen, hocheffizienten Infrastruktur. Das dazugehörige Kommandozeilen-Werkzeug nft nutzt eine völlig neue, an echte Programmiersprachen angelehnte Syntax und arbeitet mit einer internen Virtual Machine im Kernel, was die CPU-Last bei der Verarbeitung von Netzwerkpaketen drastisch senkt. Im Forum ist nftables der moderne Anlaufpunkt für zukunftssichere Firewall-Skripte, da es die Erstellung von Regeln wesentlich übersichtlicher gestaltet, native Mengen (Sets) für IP-Adressen unterstützt und IPv4 sowie IPv6 in einer einzigen Regel ohne doppelten Aufwand filtern kann.

    Klick für mehr ...

    1 🎛️ nftables (Die moderne High-Speed-Firewall von Linux)

    1.1 1.1 🔬 DIE EVOLUTION: WARUM NFTABLES BESSER IST ALS IPTABLES

    • Keine starren Standard-Tabellen mehr:
      Bei iptables gab es fest eingebaute Tabellen (wie filter oder nat), die immer geladen wurden, selbst wenn man sie gar nicht brauchte. Bei nftables existiert anfangs nichts. Der Administrator legt nur noch die Tabellen und Ketten an, die er wirklich für sein Szenario benötigt.
    • Ein Werkzeug für alles:
      Früher brauchte man für IPv4 iptables, für IPv6 ip6tables und für Netzwerkbrücken ebtables. nftables nutzt für alles den einzigen Befehl nft.
    • Die kombinierte „Inet“-Familie:
      Du kannst eine Tabelle für die Familie inet erstellen. Regeln in dieser Kette gelten dann vollautomatisch sowohl für IPv4 als auch für IPv6. Das spart die Hälfte des Konfigurationsaufwands.

    1.2 1.2 🛠️ DIE NATIVE INSTALLATION (DIE FANTASTISCHEN VIER)

    Da nftables direkt in den Linux-Kernel integriert ist und die Kern-Sicherheit des Systems steuert, wird es ausnahmslos nativ installiert. Sandbox-Formate wie Flatpak haben hier technisch bedingt absolut keinen Zugriff.

    1. Debian / Ubuntu / Linux Mint / Pop!_OS:

    Code
    sudo apt install nftables

    Tipp: Um die Firewall nach der Installation direkt beim Systemstart zu aktivieren, nutzt man:

    Code
    sudo systemctl enable --now nftables

    2. Arch Linux / Manjaro:

    Code
    sudo pacman -S nftables

    3. Fedora:

    Code
    sudo dnf install nftables

    4. openSUSE (Tumbleweed / Leap):

    Code
    sudo zypper in nftables

    1.3 1.3 ⚠️ DIE KLASSISCHEN COMMANDS

    Die Syntax von nftables ist extrem sauber. Hier sind die wichtigsten Terminal-Befehle, um ein System zu analysieren oder abzusichern:

    1.3.1 1. Das gesamte aktuelle Regelwerk übersichtlich anzeigen:

    Der Befehl gibt die komplette Firewall-Struktur in einem wunderschönen, leicht lesbaren Format aus:

    Code
    sudo nft list ruleset

    1.3.2 2. Eine neue Tabelle und eine INPUT-Kette erstellen:

    Da nftables leer startet, legt dieser Befehl eine universelle IPv4/IPv6-Tabelle namens mein_schutz und eine Kette für eingehenden Verkehr an:

    Code
    sudo nft add table inet mein_schutz
sudo nft add chain inet mein_schutz eingang { type filter hook input priority 0 \; }

    1.3.3 3. Eine böswillige IP-Adresse sofort blockieren:

    Um die IP-Adresse 192.168.1.99 in unserer neuen Kette blitzschnell auszusperren:

    Code
    sudo nft add rule inet mein_schutz eingang ip saddr 192.168.1.99 drop

    (Die Syntax liest sich fast wie ein englischer Satz: "add rule... ip source address 192.168.1.99 drop").

    1.3.4 4. Das gesamte Regelwerk in einer Datei sichern:

    Damit die mühsam erstellten Regeln einen Neustart überleben, speichert man sie in der Standard-Konfigurationsdatei der Distribution (meist unter /etc/):

    Code
    sudo nft list ruleset | sudo tee /etc/nftables.conf

    1.4 1.4 💡 INTERNER VERGLEICH: NFTABLES VS. IPTABLES

    FeatureAltes iptablesModernes nftables
    SyntaxSperrig, viele Bindestriche (-A -p tcp --dport)Logisch, sehr gut lesbar (add rule tcp dport)
    PerformanceTräge bei tausenden Regeln (lineares Scannen)Extrem schnell durch Kernel-VM und native Sets
    Dual-StackGetrennte Befehle für IPv4 und IPv6Ein einziger Befehl via inet-Familie
    Doppelte RegelnOft nötig (einmal für v4, einmal für v6)Komplett eliminiert

    1.5 1.5 💡 FAZIT

    nftables ist die verdiente und hochmoderne Zukunft des Linux-Paketfilters. Es bügelt alle Designfehler aus, unter denen Administratoren bei iptables jahrzehntelang leiden mussten. Wer heute im Jahr 2026 ein neues Linux-System aufsetzt oder absichert, sollte direkt auf nftables setzen.