欢迎进入Linux社区论坛，与200万技术人员互动交流 >>进入
现在，比如说你有一个新的动态端口ppp1,对它做过滤非常简单，仅仅把它加到jump_map映射中就可以了。
nft> add element filter jump_map { ppp1 : jump low_sec; }
运维和内核方面
更新速度更快
在iptables中添加一条规则，会随着规则数量增多而变得非常慢，这也就解释了为什么调用iptables的脚本需要花很久才完成。这种状况对nftables而言就不存在了。nftables使用原子的快速操作来更新规则集合。
内核更新更少
使用iptables,每一个匹配或投递都需要内核模块的支持。因此，如果你忘记一些东西或者要添加新的功能时都需要重新编译内核。nftables就不存在这种状况了。在nftables中，大部分工作是在用户态完成的，内核只知道一些基本指令（过滤是用伪状态机实现的）。例如，icmpv6支持是通过nft工具的一个简单的补丁实现的。在iptables中这种类型的更改需要内核和iptables都升级才可以。
[1][2]
学做任何事得按部就班，急不得
