Como usar este guia
O conteúdo foi revisado em setembro de 2026 com foco operacional. Procedimentos sensíveis devem ser testados primeiro em laboratório, com backup, acesso de recuperação e rollback documentado. Exemplos usam placeholders e não devem receber credenciais reais.
Não exponha interfaces administrativas, chaves, dumps, amostras de malware ou logs sensíveis no portal público. Em produção, aplique segmentação, privilégio mínimo e retenção definida.
Modelo
nftables unifica IPv4/IPv6 e permite expressões, sets, maps e atualizações atômicas. O desenho deve começar por famílias, hooks, prioridades e política.
Ruleset
Use table inet para políticas comuns IPv4/IPv6 quando aplicável. Defina chains base com hook e policy explícitos e mantenha comentários/documentação.
Sets
Sets reduzem repetição e tornam listas de redes/portas mais fáceis de manter. Para grandes listas, valide memória e estratégia de atualização.
Atomicidade
Carregue arquivo completo com nft -c -f para validar sintaxe antes de nft -f. Isso reduz risco de estado parcialmente aplicado.
Observabilidade
Use counters, nft list ruleset e tracing em laboratório. Registre drops com rate limit para não transformar logging em DoS.
Migração
Traduza, teste e simplifique. A migração correta não é somente trocar sintaxe; é aproveitar objetos nativos e reduzir complexidade.
Checklist antes de considerar concluído
- Versão e documentação do componente foram confirmadas.
- Fluxos de rede e privilégios necessários estão explicitamente definidos.
- Configuração foi validada antes de reload/restart quando houver comando de teste.
- Logs e métricas confirmam o comportamento esperado.
- Falha controlada e recuperação foram testadas em ambiente seguro.
- Backup, rollback e acesso de emergência são verificáveis.