nftables, iptables oder firewalld: Welche Linux-Firewall du heute nutzen solltest
Neue Systeme setzt du auf nftables auf, das ist der Standard aller aktuellen Distributionen. firewalld ist die richtige Wahl, wenn mehrere Personen die Regeln pflegen, und gewachsene iptables-Regelwerke migrierst du geplant statt im laufenden Betrieb.
Warum die Firewall-Frage unter Linux gerade wieder auf dem Tisch liegt
Auf aktuellen Enterprise-Distributionen ist nftables das Paketfilter-Framework im Kernel, und die vertrauten iptables-Kommandos sind meist nur noch ein Frontend darauf. Wer iptables -L aufruft, spricht in der Regel mit iptables-nft und sieht deshalb ein Bild, das nicht mehr zu dem passt, was nft list ruleset ausgibt. Genau an dieser Stelle entstehen die meisten Missverständnisse im Betrieb, weil zwei Werkzeuge dieselbe Wahrheit unterschiedlich darstellen.
Dazu kommt die Abstraktionsfrage. firewalld verwaltet Zonen, Services und Policies und schreibt sie nach nftables, ufw fährt einen deutlich schlankeren Ansatz für einzelne Hosts, und pures nft gibt dir die volle Kontrolle über Families, Hooks, Prioritäten, Sets und Verdict Maps. Alle drei sind legitim, sie passen nur zu unterschiedlichen Umgebungen. Ein Kubernetes-Node oder ein Docker-Host bringt zusätzlich eigene Regeln mit, die von außen eingehängt werden und mit einem handgeschriebenen Regelwerk kollidieren können.
Typische Fehler sind gut vorhersagbar: Legacy- und nft-Regelwerke laufen parallel, weil iptables-legacy noch aktiv ist und beide Sätze am selben Hook hängen. Regeln werden mit firewall-cmd zur Laufzeit gesetzt und nach dem Reboot fehlen sie, weil --permanent oder --runtime-to-permanent vergessen wurde. Oder es werden Direct Rules in firewalld gepflegt, die die Zonenlogik umgehen und beim nächsten Upgrade niemand mehr versteht. Fehlende Conntrack-Regeln für ct state established,related runden das Bild ab und sorgen für schwer greifbare Verbindungsabbrüche.
Von iptables nach nftables in sechs Schritten
- 01 Backend prüfen: legacy oder nft
- 02 Regelwerk mit iptables-save sichern
- 03 Mit iptables-restore-translate übersetzen
- 04 Auf inet-Tabelle und Sets umbauen
- 05 Werkzeug festlegen: nft, firewalld oder ufw
- 06 Counter prüfen, Reboot-Test, dokumentieren
So triffst du die Entscheidung und migrierst dein Regelwerk
Der Weg von einem historisch gewachsenen iptables-Setup zu einem wartbaren Firewall-Betrieb ist gut planbar, wenn du Backend, Werkzeug und Regelinhalt getrennt betrachtest. Diese Punkte bilden die Reihenfolge ab, die sich in der Praxis bewährt hat.
Backend feststellen, bevor du irgendetwas änderst
Prüfe mit iptables --version und update-alternatives --display iptables beziehungsweise alternatives --display iptables, ob du auf der Legacy- oder auf der nft-Variante unterwegs bist. Ein nft list ruleset zeigt dir anschließend, was der Kernel tatsächlich auswertet. Erst wenn beide Bilder zusammenpassen, hast du eine belastbare Ausgangslage.
Bestehende Regeln maschinell übersetzen
Mit iptables-save sicherst du den Ist-Zustand, iptables-restore-translate -f rules.v4 erzeugt daraus nftables-Syntax und iptables-translate hilft bei einzelnen Zeilen. Die Übersetzung ist ein guter Startpunkt, aber kein fertiges Regelwerk: Sie bildet die alte Ketten-Struktur eins zu eins ab, statt die Möglichkeiten von nftables zu nutzen.
Die nftables-Konzepte wirklich verwenden
Eine table inet filter deckt IPv4 und IPv6 gemeinsam ab, Base Chains bekommen Typ, Hook, Priority und Policy, und Sets sowie Verdict Maps ersetzen lange Ketten aus Einzelregeln. Damit schrumpfen Regelwerke deutlich und werden schneller nachvollziehbar, weil Ports und Netze als benannte Objekte gepflegt werden.
Abstraktionsebene bewusst wählen
firewalld passt dort, wo Zonen, wechselnde Interfaces und Rollen im Spiel sind, etwa auf RHEL- oder SLES-Systemen mit vielen Diensten. ufw ist eine sinnvolle Wahl für einzelne Ubuntu-Hosts mit überschaubarem Regelbedarf. Pures nft lohnt sich auf Routern, Gateways und überall dort, wo du Regeln versioniert ausrollst und exakte Kontrolle über Hooks und Reihenfolge brauchst.
Container und Cluster mitdenken
Docker hängt eigene Regeln ein und stellt dafür die Kette DOCKER-USER bereit, kube-proxy bringt inzwischen ein nftables-Backend mit. Wenn du eigene Regeln schreibst, plane die Priorität deiner Chains so, dass sie sich mit diesen automatisch erzeugten Regeln vertragen, statt sie zu überschreiben.
Rollout absichern und dokumentieren
Arbeite bei Remote-Systemen mit einem Rückfall-Timer oder einer zweiten Session, prüfe Treffer über Counter und Log-Regeln und lege das Regelwerk als Datei in die Konfigurationsverwaltung, zum Beispiel über Ansible. Ein Reboot-Test gehört zwingend dazu, damit Laufzeit- und Persistenzstand nicht auseinanderlaufen.
Kurse zu nftables, iptables und firewalld bei cmt
Diese Kurse vertiefen genau das, an echten Systemen statt nur an Folien. Als Präsenz oder Live-Online, auf Wunsch auch Inhouse für dein Team.
Häufige Fragen zu nftables, iptables und firewalld
Noch etwas offen? Wir sind ohne Warteschleife für dich da.
Frag uns direktIst iptables abgekündigt?
Kann ich iptables und nftables parallel betreiben?
Nutzt firewalld intern nftables?
Wann ist ufw die bessere Wahl als firewalld?
Wie teste ich ein neues Regelwerk, ohne mich auszusperren?
Zuletzt geprüft am 26. Juli 2026.
Verwandte Linux-Themen
Alle Linux-Themen im ÜberblickEchte Stimmen aus unseren IT-Kursen
Der Trainer konnte die Inhalte sehr gut vermitteln. Ich habe dabei viel gelernt.
Der Kursinhalt entsprach voll meinen Erwartungen, die richtige Mischung aus Theorie und Praxis.
Deine Ansprechpartner
Du bist dir nicht sicher, welcher Kurs oder welches Level zu dir passt? Wir beraten dich persönlich und kostenlos.
Yves Hoppe
Weiterbildung & Beratung
Hilft dir, aus dem Linux-Programm den passenden Kurs oder Lernpfad zu finden.
Norbert Jansen
Beratung & Inhouse
Plant mit dir Inhouse-Trainings, die exakt auf eure Systemlandschaft und Distributionen zugeschnitten sind.
Firewall-Regeln mit erfahrenen Trainern durchgehen
Im Linux Security Intensivkurs arbeitest du mit nftables, firewalld und Härtungsmaßnahmen am laufenden System, das Linux Netzwerkadministration Advanced Training vertieft Routing, Filtern und Netzwerkdienste, und der Kompaktkurs Linux Netzwerk und Netzwerkdienste gibt dir den kompletten Überblick. Alle Termine gibt es als Präsenz- oder Live-Online-Schulung, und wenn du deine konkrete Migration besprechen willst, meldest du dich einfach bei uns.