O que carrega nft_compat

Sobre a mensagem em si: não é uma mensagem upstream do kernel, é uma mensagem específica adicionada no AlmaLinux 9 (e provavelmente herdada do RHEL 9).

O nft_compatmódulo é a camada de compatibilidade que permite executar iptables sobre nftables e ainda usar módulos não-nftables.

CONFIG_NFT_COMPAT: Netfilter x_tables sobre módulo nf_tables

[...]

• módulos construídos:nft_compat

Texto de ajuda

Isso é necessário se você pretende usar qualquer uma das extensões de correspondência/destino x_tables existentes na estrutura nf_tables.

Qualquer módulo xtables usado em iptables-nftvez de iptables-nfttraduzir a regra iptables em uma regra nftables somente nativa precisará nft_compatfuncionar.

Começando com uma VM limpa que não executa nada relacionado à rede e, portanto, não está nft_compatcarregada, quase tudo que não está vazio irá carregá-la.

Isso não:

iptables-nft -A -j ACCEPT

Como é traduzido puramente em código nftables :

# uname -r
6.1.0-0.deb11.5-amd64
# iptables -V
iptables v1.8.7 (nf_tables)
# iptables -A -j ACCEPT
# nft --debug=netlink list ruleset
ip filter INPUT 2 
  [ counter pkts 0 bytes 0 ]
  [ immediate reg 0 accept ]

table ip filter {
    chain INPUT {
        type filter hook input priority filter; policy accept;
        counter packets 0 bytes 0 accept
    }
}
# lsmod | grep nft_compat
# 

Quase tudo o mais irá (até que o espaço do usuário e a versão do kernel permitam traduzi-lo em nativo nftables , então isso possivelmente depende da versão do iptables e da versão do kernel para uma determinada regra).

# iptables -A INPUT -j REJECT
# lsmod | grep nft_compat
nft_compat             20480  1
nf_tables             286720  4 nft_compat
x_tables               61440  2 nft_compat,ipt_REJECT
nfnetlink              20480  2 nft_compat,nf_tables
# nft --debug=netlink list ruleset
ip filter INPUT 2 
  [ counter pkts 8 bytes 608 ]
  [ immediate reg 0 accept ]

ip filter INPUT 3 2 
  [ counter pkts 0 bytes 0 ]
  [ target name REJECT rev 0 ]

table ip filter {
    chain INPUT {
        type filter hook input priority filter; policy accept;
        counter packets 8 bytes 608 accept
        counter packets 0 bytes 0 reject
    }
}
# 

Qualquer entrada exibida por nft --debug=netlink ...isso inclui target name(para iptables-nft .. -j target ) ou match name(para iptables-nft ... -m module ) significa que está usando o x_tablesmódulo do kernel correspondente por meio do nft_compatmódulo de compatibilidade.

Para se livrar dele, não use iptables-nftnenhuma ferramenta que use suas bibliotecas (libip4tc2, ...). É claro que reverter para iptables-legacy(se for fornecido?) Seria pior: este destina-se a se tornar obsoleto no upstream e a camada de compatibilidade deve ser mantida por um longo tempo para substituí-lo.

Isso provavelmente significa: não use Docker, não use podman, não use...

Conclusão: não vejo como você pode se livrar desta mensagem.