【求助】iptable匹配规则，有点搞蒙了。

duckybsd

按照我以前的理解，iptables应该是“First Match Wins”的原则，即只要匹配第一条规则，后面的规则就Pass掉了，现在我有这样的2条规则：

1. 
   
2. iptables -t mangle -A PREROUTING -i eth0 -d 10.0.0.0/8 -j MARK --set-mark 200
   
3. iptables -t mangle -A PREROUTING -i eth0 -j MARK --set-mark 100
   

复制代码

现在假设有一个数据包进来，目标地址是10.0.0.0/8段，按照我以前的理解，这个数据包应该被标上200的标记，但从我试验的结果分析，这个数据包被标上了100才能解释得通，到底如何回事？谢谢

duckybsd

1866K 2416M MARK       all  --  eth0   *       0.0.0.0/0            10.0.0.0/8       MARK set 0xc8
3907K 2508M MARK       all  --  eth0   *       0.0.0.0/0            0.0.0.0/0           MARK set 0x64

nagaregawa

并不是所有的规则都只匹配成功就不继续匹配同表中的规则了，像 set-mark，打完标记之后还要继续匹配同一个表中之后的规则。

wendaozhe

用return

chenyx

在第一个规则后面写一个iptables -t mangle -A PREROUTING -i eth0 -d 10.0.0.0/8 -j RETURN

duckybsd

谢谢楼上的各位，受教了。:wink:

xoook

谢谢楼上的各位，受教了