Security & Hardening

nftables, iptables oder firewalld: Welche Linux-Firewall du heute nutzen solltest

Neue Systeme setzt du auf nftables auf, das ist der Standard aller aktuellen Distributionen. firewalld ist die richtige Wahl, wenn mehrere Personen die Regeln pflegen, und gewachsene iptables-Regelwerke migrierst du geplant statt im laufenden Betrieb.

Zwei Security-Fachleute prüfen ein Dashboard im Betriebsraum
Seit 1997 am Markt Präsenz & Live-Online 4,9 aus 503 Google-Bewertungen Auch Inhouse für dein Team
Worum es geht

Warum die Firewall-Frage unter Linux gerade wieder auf dem Tisch liegt

Auf aktuellen Enterprise-Distributionen ist nftables das Paketfilter-Framework im Kernel, und die vertrauten iptables-Kommandos sind meist nur noch ein Frontend darauf. Wer iptables -L aufruft, spricht in der Regel mit iptables-nft und sieht deshalb ein Bild, das nicht mehr zu dem passt, was nft list ruleset ausgibt. Genau an dieser Stelle entstehen die meisten Missverständnisse im Betrieb, weil zwei Werkzeuge dieselbe Wahrheit unterschiedlich darstellen.

Dazu kommt die Abstraktionsfrage. firewalld verwaltet Zonen, Services und Policies und schreibt sie nach nftables, ufw fährt einen deutlich schlankeren Ansatz für einzelne Hosts, und pures nft gibt dir die volle Kontrolle über Families, Hooks, Prioritäten, Sets und Verdict Maps. Alle drei sind legitim, sie passen nur zu unterschiedlichen Umgebungen. Ein Kubernetes-Node oder ein Docker-Host bringt zusätzlich eigene Regeln mit, die von außen eingehängt werden und mit einem handgeschriebenen Regelwerk kollidieren können.

Typische Fehler sind gut vorhersagbar: Legacy- und nft-Regelwerke laufen parallel, weil iptables-legacy noch aktiv ist und beide Sätze am selben Hook hängen. Regeln werden mit firewall-cmd zur Laufzeit gesetzt und nach dem Reboot fehlen sie, weil --permanent oder --runtime-to-permanent vergessen wurde. Oder es werden Direct Rules in firewalld gepflegt, die die Zonenlogik umgehen und beim nächsten Upgrade niemand mehr versteht. Fehlende Conntrack-Regeln für ct state established,related runden das Bild ab und sorgen für schwer greifbare Verbindungsabbrüche.

Miniatur-Szene: Serverschrank in einer Schutzhülle, Vorhängeschlösser und ein Schild davor

Von iptables nach nftables in sechs Schritten

  1. 01 Backend prüfen: legacy oder nft
  2. 02 Regelwerk mit iptables-save sichern
  3. 03 Mit iptables-restore-translate übersetzen
  4. 04 Auf inet-Tabelle und Sets umbauen
  5. 05 Werkzeug festlegen: nft, firewalld oder ufw
  6. 06 Counter prüfen, Reboot-Test, dokumentieren
Was du mitnimmst

So triffst du die Entscheidung und migrierst dein Regelwerk

Der Weg von einem historisch gewachsenen iptables-Setup zu einem wartbaren Firewall-Betrieb ist gut planbar, wenn du Backend, Werkzeug und Regelinhalt getrennt betrachtest. Diese Punkte bilden die Reihenfolge ab, die sich in der Praxis bewährt hat.

Backend feststellen, bevor du irgendetwas änderst

Prüfe mit iptables --version und update-alternatives --display iptables beziehungsweise alternatives --display iptables, ob du auf der Legacy- oder auf der nft-Variante unterwegs bist. Ein nft list ruleset zeigt dir anschließend, was der Kernel tatsächlich auswertet. Erst wenn beide Bilder zusammenpassen, hast du eine belastbare Ausgangslage.

Bestehende Regeln maschinell übersetzen

Mit iptables-save sicherst du den Ist-Zustand, iptables-restore-translate -f rules.v4 erzeugt daraus nftables-Syntax und iptables-translate hilft bei einzelnen Zeilen. Die Übersetzung ist ein guter Startpunkt, aber kein fertiges Regelwerk: Sie bildet die alte Ketten-Struktur eins zu eins ab, statt die Möglichkeiten von nftables zu nutzen.

Die nftables-Konzepte wirklich verwenden

Eine table inet filter deckt IPv4 und IPv6 gemeinsam ab, Base Chains bekommen Typ, Hook, Priority und Policy, und Sets sowie Verdict Maps ersetzen lange Ketten aus Einzelregeln. Damit schrumpfen Regelwerke deutlich und werden schneller nachvollziehbar, weil Ports und Netze als benannte Objekte gepflegt werden.

Abstraktionsebene bewusst wählen

firewalld passt dort, wo Zonen, wechselnde Interfaces und Rollen im Spiel sind, etwa auf RHEL- oder SLES-Systemen mit vielen Diensten. ufw ist eine sinnvolle Wahl für einzelne Ubuntu-Hosts mit überschaubarem Regelbedarf. Pures nft lohnt sich auf Routern, Gateways und überall dort, wo du Regeln versioniert ausrollst und exakte Kontrolle über Hooks und Reihenfolge brauchst.

Container und Cluster mitdenken

Docker hängt eigene Regeln ein und stellt dafür die Kette DOCKER-USER bereit, kube-proxy bringt inzwischen ein nftables-Backend mit. Wenn du eigene Regeln schreibst, plane die Priorität deiner Chains so, dass sie sich mit diesen automatisch erzeugten Regeln vertragen, statt sie zu überschreiben.

Rollout absichern und dokumentieren

Arbeite bei Remote-Systemen mit einem Rückfall-Timer oder einer zweiten Session, prüfe Treffer über Counter und Log-Regeln und lege das Regelwerk als Datei in die Konfigurationsverwaltung, zum Beispiel über Ansible. Ein Reboot-Test gehört zwingend dazu, damit Laufzeit- und Persistenzstand nicht auseinanderlaufen.

Gut zu wissen

Häufige Fragen zu nftables, iptables und firewalld

Noch etwas offen? Wir sind ohne Warteschleife für dich da.

Frag uns direkt
Ist iptables abgekündigt?
Das Kommando iptables gibt es weiterhin, aber auf aktuellen Distributionen ist es in der Regel nur noch ein Frontend, das über iptables-nft in nftables schreibt. Das alte xtables-Backend gilt als Auslaufmodell, deshalb solltest du neue Regelwerke direkt in nftables-Syntax aufbauen und bestehende Setups planbar übersetzen.
Kann ich iptables und nftables parallel betreiben?
Technisch ist es möglich, weil beide Regelsätze an denselben Netfilter-Hooks hängen, betrieblich ist es eine der häufigsten Fehlerquellen. Die Auswertungsreihenfolge ergibt sich dann aus den Prioritäten und ist kaum noch nachvollziehbar, deshalb solltest du dich pro System für einen Weg entscheiden.
Nutzt firewalld intern nftables?
Ja, firewalld verwendet nftables als Standard-Backend und legt dafür eigene Tabellen und Ketten an. Du solltest deshalb keine handgeschriebenen Regeln in denselben Tabellen pflegen, sondern entweder über firewall-cmd arbeiten oder firewalld deaktivieren und nftables direkt verwalten.
Wann ist ufw die bessere Wahl als firewalld?
ufw eignet sich für einzelne Server mit klaren, wenigen Freigaben, weil die Konfiguration schnell zu lesen und zu übergeben ist. Sobald du mit Zonen, mehreren Interfaces, Rich Rules oder rollenabhängigen Profilen arbeitest, ist firewalld deutlich tragfähiger.
Wie teste ich ein neues Regelwerk, ohne mich auszusperren?
Lege das Regelwerk als Datei ab, lade es mit nft -f und plane vorab einen automatischen Rückfall auf die alte Konfiguration, etwa über einen at-Job oder ein Timeout-Skript. Zusätzlich helfen Counter an den relevanten Regeln und eine Log-Regel vor dem finalen Drop, um zu sehen, was tatsächlich verworfen wird.

Zuletzt geprüft am 26. Juli 2026.

Das sagen Teilnehmer

Echte Stimmen aus unseren IT-Kursen

Der Trainer konnte die Inhalte sehr gut vermitteln. Ich habe dabei viel gelernt.
Rückmeldung aus dem Kurs „Monitoring mit Prometheus und Grafana - Grundkurs“
Der Kursinhalt entsprach voll meinen Erwartungen, die richtige Mischung aus Theorie und Praxis.
Rückmeldung aus dem Kurs „Kubernetes Grundkurs“
Persönlich für dich da

Deine Ansprechpartner

Du bist dir nicht sicher, welcher Kurs oder welches Level zu dir passt? Wir beraten dich persönlich und kostenlos.

Yves Hoppe

Yves Hoppe

Weiterbildung & Beratung

Hilft dir, aus dem Linux-Programm den passenden Kurs oder Lernpfad zu finden.

Norbert Jansen

Norbert Jansen

Beratung & Inhouse

Plant mit dir Inhouse-Trainings, die exakt auf eure Systemlandschaft und Distributionen zugeschnitten sind.

Nächster Schritt

Firewall-Regeln mit erfahrenen Trainern durchgehen

Im Linux Security Intensivkurs arbeitest du mit nftables, firewalld und Härtungsmaßnahmen am laufenden System, das Linux Netzwerkadministration Advanced Training vertieft Routing, Filtern und Netzwerkdienste, und der Kompaktkurs Linux Netzwerk und Netzwerkdienste gibt dir den kompletten Überblick. Alle Termine gibt es als Präsenz- oder Live-Online-Schulung, und wenn du deine konkrete Migration besprechen willst, meldest du dich einfach bei uns.