Linux防火墙规则冲突源于iptables/nftables从上到下线性匹配机制：首条匹配规则即生效，后续规则不再检查；默认策略位于所有显式规则之后，需谨慎设置以避免锁死。
Linux防火墙规则冲突，本质上是iptables或nftables规则匹配顺序导致的预期外行为。规则不是“同时生效”，而是按**从上到下严格线性匹配**，一旦某条规则匹配并作出动作（ACCEPT、DROP、REJECT等），后续规则就不再检查——这是理解冲突和调试的核心。
iptables规则按链内顺序逐条匹配
每个链（INPUT、OUTPUT、FORWARD）维护一个规则列表，内核按索引0→1→2…依次比对数据包。即使后面有更“精确”的规则，只要前面某条宽泛规则（如“ACCEPT所有ESTABLISHED”或“DROP来自某网段”）先命中，就不会继续执行。
- 用iptables -L --line-numbers查看当前规则序号和内容，注意行号从1开始
- 插入新规则时，iptables -I INPUT 3 ...表示插入到第3位，原第3条及之后整体下移
- 追加规则用-A，永远加在链末尾；若想优先生效，必须用-I指定位置
默认策略是最后的“兜底规则”
每条链都有一个默认策略（policy），如iptables -P INPUT DROP。它不显示在iptables -L输出中，但实际位于所有用户规则之后。也就是说：只有当数据包未被任何显式规则匹配时，才执行默认策略。
- 常见误操作：先设POLICY DROP，再零散添加ACCEPT规则，却忘了开放SSH（端口22）或本机回环（127.0.0.1），结果锁死自己
- 安全实践：先临时设为ACCEPT，确认业务通顺后，再逐步收紧，并把最宽松的规则（如ESTABLISHED）放在靠前位置，精细控制规则（如单IP限速）放其后
nftables同样遵循顺序匹配，但结构更清晰
nftables用表（table）、链（chain）、规则（rule）组织，规则仍按添加顺序执行。但它支持命名链、跳转（jump）和更灵活的优先级字段（priority），可减少人为排序失误。
- 查看规则顺序：nft list chain ip filter input
- 插入高优先级规则：nft insert rule ip filter input position 0 tcp dport 22 accept
- 避免混用：不要在同一个链里同时用iptables和nftables规则（除非启用iptables-nft兼容层），否则匹配逻辑不可控
排查冲突的实用步骤
当发现某条规则“不起作用”，大概率是被上方规则截断了。不要猜，直接跟踪：
- 用iptables -L -v -n看每条规则的匹配包计数（pkts列），为0说明从未命中，可能被前置规则拦截或条件不满足
- 用tcpdump或ss -tuln确认端口是否真在监听、连接是否发出，排除应用层问题
- 临时清空测试：iptables -F（慎用！建议先保存iptables-save > backup.ipt）
