Сосуществование nftables и iptables

Тем временем их оба закапывают в пользу bpf.

там вроде iptables транслируется в nftables

отныне

лет 10

На арче юзаю nftables, вроде проблем никаких нет.
Сервисы iptables-а в systemd выключены.

Тем временем их оба закапывают в пользу bpf.

Говорят не готово ещё:

2018-08-14 I do not think the userspace is ready yet http://vger.kernel.org/netconf2018_files/DanielBorkmann_netconf2018.pdf slides 17 and 18.

А вообще спасибо, покопался в теме, крайне интересная штука оказалась - буду следить. Помимо фаервола с офлоадингом правил на железо там ещё seccomp-bpf, cilium может покручу для homelab kubernetes кластера.

Или ну его нафиг и писать правила iptables?

Писать правила nftables, по возможности.

bpf будет поддерживать синтаксис iptables, стоит ли nftables заморочек?

нет, не стоит

Если только начинаете изучать я бы взял nftables. Сам еще не осиливал и пока «сильно не припрет» не собираюсь ( прошел путь fwadm-ipchains-iptables)

динамически генерируемыми правилами от разного софта

Такой софт по большому счету надо закапывать в детстве чуть по другому настраивать. Вот навеяло соседней темой, тот же libvirt, да конечно можно там указать что-то типа nat и он вам насоздает правил, но ведь все тоже само можно сделать руками, и в этом случае fw у вас под контролем, а не под контролем неведомого софта создающего хз что и хз как, а потом обновиться и еще что-то другое сделает, что станет «приятным» сюрпризом. Давать рулить fw какому-то не было софту кроме нейронной сети считаю не самая лучшая идея.
Исключением пожалуй только file2ban, полезная утилита.