iptables가 테이블 캡처 패킷을 맹글링하지 않는 이유는 무엇입니까?

Question

첫째, 질문의 의견에서 답변했듯이 -i는 패킷이 인터페이스에서 수신되었음을 의미하므로 두 번째 규칙은 적용되지 않습니다 enp3s0. 따라서 프록시에서 나가는 모든 패킷을 표시하려면 첫 번째 규칙으로 충분합니다. 들어오는 패킷에 대해 동일한 작업을 수행하려면 다음을 추가해야 합니다.

iptables -t mangle -A FORWARD -i enp3s0 -d 172.18.0.0/16 -j MARK --set-mark 1

이제 들어오고 나가는 모든 패킷에 br-43cb854b8af8태그가 지정되고(브라우저에서 프록시로 전송되는 패킷) 이것이 시간별로 설정된 경로입니다.

첫 번째 명령 세트는 다음과 같습니다.

ip rule add to 172.18.0.0/16 pref 100 table 1
ip rule add fwmark 0x0001 pref 101 table 1
ip route add table 1 to 172.18.0.0/16 dev br-43cb854b8af8

브라우저에서 들어오는 트래픽과 프록시에서 Docker 네트워크로 직접 들어오는 트래픽을 허용합니다. VPN이 자체 규칙도 설정하고 위 규칙이 패킷에 적용되지 않는 경우에만 이러한 규칙을 확인하려고 하기 때문에 pref 옵션이 사용됩니다.

두 번째 명령 세트는 다음과 같습니다.

ip rule add fwmark 0x0001 pref 102 table main

패킷에 태그가 지정되어 있고 Docker의 네트워크로 가지 않는 경우(즉, Docker의 네트워크에서 나온다는 의미) VPN 규칙을 우회하고 VPN이 필요하지 않은 표준 경로로 이동하도록 설정합니다.

최종 스크립트

#!/bin/sh

iptables -t mangle -A PREROUTING -i br-43cb854b8af8 -j MARK --set-mark 1
iptables -t mangle -A FORWARD -i enp3s0 -d 172.18.0.0/16 -j MARK --set-mark 1

ip rule add to 172.18.0.0/16 pref 100 table 1
ip rule add fwmark 0x0001 pref 101 table 1
ip route add table 1 to 172.18.0.0/16 dev br-43cb854b8af8

ip rule add fwmark 0x0001 pref 102 table main

ip route flush cache

Answer 1