поделитесь опытом

vel

nftables это же просто инструмент для работы с netfilter. Какая разница?

Там же более оптимальные системы ядра я как понимаю начали использовать

Непосредственно правила фильтрации и специфичные для протоколов обработчики компилируются в байткод в пространстве пользователя, после чего данный байткод загружается в ядро при помощи интерфейса Netlink и выполняется в ядре в специальной виртуальной машине, напоминающей BPF (Berkeley Packet Filters). Подобный подход позволяет значительно сократить размер кода фильтрации, работающего на уровне ядра и вынести все функции разбора правил и логики работы с протоколами в пространство пользователя.

Спасибо за инфу. Думал всё куда скучнее чем есть на самом деле. Почитал немного.

Сам движок NAT (connection tracking) всё равно не имеет никакого отношения ни к nftables, ни к iptables.

То есть надежда,что routeros 7 ветки не даст увеличения в мощностях mikrotikов в нате - напрасны ?

какая то очень странная формулировка. в текущем режиме вся разница только в userspace. и то все утилиты умеют в обратную совместимость. ну т.е. в данный момент ipset+whatever > 100500 rules + whatever. Но оно всегда так было же.

А RouterOS тут тем более каким боком? Там никаким nftables в любом случае не пахнет.

Там практически ванильный Линукс + они говорят что в 7 переходят на nftables