Проверка nftables без применения: допустимая конфигурация ещё не подтверждает сетевой результат
Фотография конкретного исполнения не приложена.
Перед изменением фильтрации нужно проверить подготовленный набор команд. Режим check у nft проверяет их допустимость без применения изменений. Он полезен как отдельный этап, но не заменяет оценку того, какие реальные подключения будут разрешены или прекращены этой политикой.
Для повторяемой проверки фиксируют главный файл, включаемые части и параметры загрузки. Подготовленный текст может зависеть от объектов, имён и возможностей конкретной системы. Успешная проверка в одной среде не доказывает наличие тех же возможностей ядра и того же окружения на другом узле.
При сохранении снимка тоже важны выбранные параметры. Stateless исключает stateful-информацию, а terse может опустить содержимое sets. Такой вывод не равен полному снимку всех наблюдаемых объектов. Формат list ruleset предназначен в том числе для последующего использования как вход, но его состав нужно оценить до обещания полного восстановления.
В приёмке отдельно проверяют полноту сохранённого артефакта и предусмотренное поведение на изолированном стенде. Не называют просмотр файла или check действующим изменением firewall. Подтверждение синтаксиса и допустимости команд является промежуточным результатом; доступность нужного сервиса и сохранение административного пути требуют собственных проверок.
Основание — Official nft(8) HTML snapshot; exact release1.1.7 archive not obtained, разделы OPTIONS; RULESET; include files. Сохранён текст публичной справочной публикации; конкретная реализация может поддерживать только часть возможностей. Основание — сохранённый HTML-справочник nft(8); это снимок изменяемой страницы, а не руководство из архива 1.1.7. Фактические версии nft, ядра и рабочие правила не проверялись; команды фильтрации не выполнялись.
