@chrome，我不知道firewalld如何，但我知道nftables的优点是简单直接。只要知道基本语法，编写防火墙规则就像说话一样简单。
比如我的防火墙规则最后只有这三句话：
nft add rule inet filter input iif wlp3s0 tcp dport 22 accept
nft add rule inet filter input iif wlp3s0 ct state new reject
nft add rule inet filter forward iif wlp3s0 ct state new reject
翻译成汉语：
nft添加规则，名称为inet的过滤器，输入流量，来自网卡wlp3s0，tcp目的端口为22,接受
nft添加规则，名称为inet的过滤器，输入流量，来自网卡wlp3s0，连接状态为新建，拒绝
nft添加规则，名称为inet的过滤器，转发流量，来自网卡wlp3s0，连接状态为新建，拒绝
想要更复杂的防火墙规则，只要不断往句子里追加条件就行了。这种基于语法的规则定义方法和iptables基于参数的规则定义方法比起来易用性无疑更高。
然后目的就达到了，并且没有副作用，不会导致docker、虚拟机等无法访问互联网。
我之前的规则nft add rule inet filter forward iif wlp3s0 reject有导致虚拟机无法访问互联网的问题，但是加上ct state new之后就解决了。nftables对Linux连接跟踪功能的深度支持让一切都变得异常简单，再也不用担心基于端口的过滤在本机发起连接时产生各种副作用。
而且ct state new规则同时支持TCP和UDP，nftables规则同时适用于IPv4和IPv6，也让我非常惊喜。这样只需要一条规则就能兼顾四者。
17839207859
严重怀疑会有人执行这个。