Ein frischer Linux-Server wird ohne jede Firewallregel ausgeliefert. Jeder Listener, den Sie starten, ist sofort aus dem gesamten Internet erreichbar. Die Lösung ist eine kurze, gut verstandene Baseline: default-deny für eingehenden Verkehr, established Traffic zulassen und eine explizite Allowlist für die Dienste, die Sie tatsächlich betreiben. Diese Anleitung baut diese Baseline in nftables Regel für Regel auf, erklärt die Punkte, bei denen fast jeder etwas falsch macht (ICMP und IPv6), zeigt dieselbe Policy in ufw und firewalld, behandelt, wie Sie sich nicht selbst aussperren, und geht auf die Falle beim Veröffentlichen von Docker-Ports ein.

Wenn Ihr Server eine aktuelle Debian-, Ubuntu- oder RHEL-Familien-Distro betreibt, laufen Ihre "iptables"-Regeln so gut wie sicher bereits innerhalb von nftables. Der iptables-Befehl ist seit 2019 ein Kompatibilitäts-Shim. Die eigentliche Frage ist nicht, wer gewinnt; sie ist, ob Sie weiterhin Regeln in einer Legacy-Syntax oben auf der neuen Engine schreiben wollen. Dieser Leitfaden behandelt, was sich architektonisch tatsächlich geändert hat, einen Syntax-Vergleich Seite an Seite, was die ehrlichen Performance-Daten sagen, und einen Migrationspfad, der Docker nicht bricht und Sie nicht aussperrt.