iptables 连接跟踪求助

lirivernick

需求：区分出源IP、目的IP相同的2个UDP流，且UDP的源、目的端口号是随机分配的，为2个UDP流中的IP包打标，属于同一个流（源、目的IP相同，源、目的端口号相同）的IP包mark相同的标记。
配置规则：
iptables -t mangle -A PREROUTING -p udp -d 164.36.1.0/24 -m conntrack --ctstate NEW -j CONNMARK --set-mark 0x01
iptables -t mangle -A PREROUTING -p udp -d 164.36.1.0/24 -m conntrack --ctstate NEW -j CONNMARK --set-mark 0x02
结果：
发送两条测试流量，在nf_conntrack中查看到了两条连接，但mark均为2，增加log后发现每个包的状态都是NEW，按上述规则匹配后就执行了mark2，所以有此结果
疑问：
1、为何属于同一个连接的后续包状态仍为NEW？
2、上述需求应如何实现？

chenyx

不知道数据是需要通过你的iptables还是目的就是你的那个server。
如果是通过，试试在forward链里面配置规则测试下看看。
没试验过，希望能帮助到你

lyhabc

--ctstate NEW？？

lirivernick

回复 2# chenyx
谢谢回复，数据流要通过我的这个设备转发到目的server，加到forward是为了什么？

   

lirivernick

回复 3# lyhabc

怎么？是这条规则配置的有问题吗？
   

chenyx

以前白金版主讲过nat的数据包只有第一个是通过nat链，其余的走forward。不知道你的那个mangle链是不是也是这样处理的，所以让你试试看