熟悉nat和conntrack的高手进来指导下，谢谢！

瀚海书香

回复 3# shaohui973

第二个包为什么不去查？第一包到达时，由于此时还没有设置NAT规则，则nf_find_rule查找匹配失败，返回NF_ACCEPT;由于是查找失败的，所以没有机会调用对应的target函数---ipt_snat_target或ipt_dnat_target，也就没有机会设置ct->status为DNAT或者SNAT。既然没机会设置，那第二包到达时，它判断ct->status没有设置DNAT或SNAT，不是还会调用nf_find_rule去查找规则。

或许，是不是还有什么地方会设置这个ct->status？？？

呵呵。你应该仔细看看代码，nat的PREROUTING只对NEW state的数据包操作，也就是说只对链接的第一个数据包操作，之后的数据包都之间走conntrack，不会再走nat规则。
   

瀚海书香

回复 1# shaohui973

你是说，第一个包之后，CT就不是NEW状态了吗？我对CT这块没了解，指导下我，谢谢。

是的。