规则不匹配流量主因是表、链或优先级与网络路径错配：需确认协议族（ip/ip6/inet）一致、链已绑定正确hook及priority、流量真实经过该hook、规则条件与实际包特征吻合，且无前置规则提前终止匹配。
规则加载成功但不匹配流量，通常不是语法错误，而是表（table）、链（chain）或优先级（priority）配置与实际网络路径不匹配。nftables 的数据包流向严格依赖于内核 hook 点和链的注册顺序，错配会导致规则完全不触发。
检查目标表是否对应正确的协议族
nftables 中，ip、ip6、inet 表处理不同协议：ip 仅 IPv4，ip6 仅 IPv6，inet 同时兼容两者。若用 nft add table ip filter 定义了 IPv4 规则，却在测试 IPv6 流量，规则自然不生效。
- 确认流量协议：用
tcpdump -i eth0 icmp6或ss -tuln6判断是 IPv4 还是 IPv6 - 查看当前所有表：
nft list tables，注意表名前缀（ip / ip6 / inet） - IPv4 和 IPv6 流量不能混用同一张 ip 表；推荐新项目直接用
inet表统一管理
确认链是否挂载到正确的 hook 和优先级
链必须显式绑定到内核 hook（如 input、forward、output）并指定 priority，否则不会参与数据包处理。常见错误是只定义链但没用 hook 和 priority 注册。
- 检查链是否已挂载：
nft list chain inet filter input，输出中必须含type filter hook input priority 0;类似字段 - priority 值决定同 hook 下多条链的执行顺序（数值越小越早），标准 filter 链常用 0，而 mangle/conntrack 链可能用负值（如 -150）
- 若自定义链未绑定 hook，它只是“空容器”，不会自动被调用；必须用
add chain inet filter custom { type filter hook input priority 10; }
验证数据包是否真的经过该 hook
不是所有流量都走你设想的链。例如：本地进程发出的包走 output，外部进来的才走 input；转发包走 forward，但需开启 net.ipv4.ip_forward=1；NAT 后的包可能已被连接跟踪改写目标地址。
- 用
nft monitor trace实时抓取匹配轨迹（需开启CONFIG_NF_TABLES_INET=y内核支持） - 加一条最简 trace 规则定位路径：
nft add rule inet filter input meta nftrace set 1，再用sudo nft monitor trace看包是否进入 input - 确认接口、IP、端口、方向是否与规则条件一致；例如
ip saddr 192.168.1.100不会匹配来自 10.0.0.1 的包
排查 rule 插入位置与隐式跳过
nftables 规则按顺序执行，一旦某条规则匹配并终止（如 drop、accept、return），后续规则不再检查。常见陷阱是：默认策略为 accept，但前面已有更宽泛的 accept 规则挡住了后续精细规则。
- 用
nft list chain inet filter input查看规则顺序，注意是否有前置ct state established,related accept或ip protocol tcp tcp dport {22,80} accept提前放行 - 临时将链默认策略设为
drop并加一条counter规则在末尾，观察计数器是否增长，可判断包是否到达该链末尾 - 避免在非必要时使用
jump或goto，它们会改变执行流；调试阶段尽量扁平化规则结构
