怎样利用Nftables实现基于硬件MAC地址绑定的准入控制

作者：袖梨 2026-07-08

nftables可基于MAC地址做准入控制，但仅在流量处于同一二层广播域、经过ingress/input/forward链且原始MAC未被替换时有效；标准写法为ether saddr，支持与IP、端口及ARP联动，并推荐用set构建白名单集配合兜底drop规则。

nftables 可以基于 MAC 地址做准入控制，但和 iptables 类似，它只在特定网络路径下有效——不是“绑定硬件”，而是匹配数据帧到达本机 netfilter 时的源 MAC 地址。真正起作用的前提是：流量必须经过 bridge 或 inet 家族中支持以太网头部解析的链，且原始 MAC 尚未被中间设备替换。

适用场景与硬性前提

只有满足以下全部条件，MAC 匹配才可靠生效：

客户端与目标主机处于同一二层广播域（同 VLAN、无三层路由/NAT 设备介入）
流量路径经过 nftables 的 ingress、input 或 forward 链，且使用 ether saddr 表达式
内核启用 CONFIG_NF_TABLES_BRIDGE（桥接支持）或运行在物理/直连接口上（非虚拟网卡、非 Docker 默认桥）
未启用 VLAN 重排序（reorder_hdr on 会剥离 VLAN 标签，影响 ether 表达式；如需 VLAN 支持，需设为 off）

nftables 中匹配源 MAC 的标准写法

不同于 iptables 的 -m mac 模块，nftables 原生支持以太网层字段，语法更直接：

拒绝某 MAC 访问本机所有服务：
nft add rule inet filter input ether saddr 00:11:22:33:44:55 counter drop
仅允许该 MAC 访问 SSH：
nft add rule inet filter input ether saddr 00:11:22:33:44:55 tcp dport 22 accept
在桥接模式下（如 OpenWrt 软路由），用 bridge 家族更精准：
nft add table bridge filter
nft add chain bridge filter forward { type filter hook forward priority 0 ; }
nft add rule bridge filter forward ether saddr 00:11:22:33:44:55 counter accept

注意：ether saddr 是唯一可用的 MAC 匹配方式，不支持目的 MAC（ether daddr 在部分内核版本中可用，但语义不稳定，不建议用于准入逻辑）。

比 iptables 更强的协同能力

nftables 天然支持多协议统一管理，可将 MAC 控制与 IP、端口、甚至 ARP 字段联动：

防 ARP 欺骗：结合 arp 表达式校验 IP-MAC 对应关系
nft add rule arp filter input arp saddr ip 192.168.1.100 @mac_whitelist counter accept
构建白名单集（推荐）：
nft add set inet filter mac_whitelist { type ether_addr ; }
nft add element inet filter mac_whitelist { 00:11:22:33:44:55, aa:bb:cc:dd:ee:ff }
nft add rule inet filter input ether saddr @mac_whitelist accept
自动兜底拒绝：
nft add rule inet filter input counter drop（放在白名单规则之后）