nftables 表隔离技术：多租户网络访问控制的实现方法

nftables多租户隔离应基于链+集合+匹配条件组合实现，而非依赖多表；通过命名集合抽象租户属性、统一表内策略、连接状态与限速控制、标记联动等机制达成精细化访问控制。

nftables 表隔离本身不是标准做法——表（table）在 nftables 中是协议族级别的逻辑容器，不直接承载“租户”语义。真正实现多租户网络访问控制的关键，是**用链（chain）+ 集合（set）+ 匹配条件组合构建租户边界**，而非依赖多个表做隔离。表太多反而增加管理复杂度、降低规则可读性。

用命名集合抽象租户身份

把租户的 IP 段、服务端口等属性定义为动态命名集合，避免硬编码，便于统一更新和审计：

• 创建租户 A 的地址集（支持 CIDR 和 IP 范围）：
  nft add set inet filter tenant-a { type ipv4_addr; flags interval; }
  nft add element inet filter tenant-a { 10.20.1.0/24, 172.16.5.10-172.16.5.20 }
• 定义其允许的服务端口集：
  nft add set inet filter api-svc { type inet_service; }
  nft add element inet filter api-svc { 3000, 3001, 8080 }

在统一表中按租户+服务授权

所有租户策略集中写在同一个 inet filter 表里，靠 ip saddr @tenant-x 和 tcp dport @svc-y 组合精准放行或拒绝：

• 只允许 tenant-a 访问其专属 API：
  nft add rule inet filter input ip saddr @tenant-a tcp dport @api-svc ct state new accept
• 禁止 tenant-a 访问其他租户数据库端口：
  nft add rule inet filter input ip saddr @tenant-a tcp dport { 5432, 6379 } drop
• 未匹配任何租户的流量，默认由 INPUT 链 policy drop 拦截

结合连接状态与限速做服务级细控

同一租户内不同服务安全等级不同，需差异化管控：

• 对管理端口限频防爆破：
  nft add rule inet filter input ip saddr @tenant-a tcp dport 9000 limit rate 5/minute burst 10 counter drop
• 限制单 IP 到 API 端口的新连接数（防扫描）：
  nft add rule inet filter input ip saddr @tenant-a tcp dport @api-svc tcp flags & (syn) == syn ct state new limit rate 20/minute burst 40 counter drop

配合标记（mark）做跨链策略联动

当需要区分租户流量走向（如 NAT、日志、QoS），可在 FORWARD 或 PREROUTING 链打标记，后续链基于 meta mark 执行动作：

• 给 tenant-a 流量打标记：
  nft add rule inet filter forward iifname "eth0.10" meta mark set 0x100
• 按标记做隔离或转发：
  nft add rule inet filter forward meta mark 0x100 oifname "eth0.20" drop
  nft add rule ip nat postrouting meta mark 0x100 ip saddr 10.20.1.0/24 oifname "eth1" masquerade