iptables 和 nftables 混用后规则不生效，先确认流量走了哪张表

同一台机器上，旧的 iptables 规则和新的 nftables 规则同时存在时，最容易出现的情况是：规则写进去了、`iptables -L` 也能看到，但流量就是不按预期走。

先分清当前系统实际在用哪个后端：

```bash

iptables --version          # 显示 (nf_tables) 说明 iptables 已经是 nftables 的前端

update-alternatives --display iptables

nft list ruleset | head -50

```

如果 `iptables --version` 带 `nf_tables`，那么 `iptables` 命令操作的就是 nftables 的同一条规则集，两条链是同一份数据；如果显示 `legacy`，两套是彼此独立的，规则互不可见，这时候混写必然出现「加了规则不生效」。

排查顺序：

1. 确认后端：`iptables --version`、`update-alternatives --display iptables`
2. 2. 看真实规则集：`nft list ruleset`（后端是 nf_tables 时这是唯一可信视图），legacy 后端看 `iptables-save`
3. 3. 看包到底命中哪条链：`nft list chain inet filter forward -a` 带计数器，或在规则里临时加 `log prefix "FW-"`
4. 4. 确认没有 Docker、Kubernetes、firewalld 之类的组件在后台重写规则：这类组件会周期性 flush 并重装自己的链，手工加的规则会被清掉
5. 5. 确认 hook 优先级：`-I` 插在 INPUT 顶部只是相对同一条链，跨表要看 `hook input priority`，raw 早于 filter

常见误区：

• 只改 `/etc/sysconfig/iptables` 不重新加载，重启后才生效，误以为规则没写对
• - 规则顺序写反：DROP 在前、ACCEPT 在后，后面的永不被匹配
• - 忘了 conntrack：已经建立的连接不会被新加的 DROP 影响，要用 `conntrack -F` 或等连接自然过期
• - 在容器里改规则，实际生效的是宿主机的 netns

一句话：`nft list ruleset` 看清楚再动手，比反复 `iptables -L` 有效得多。