电梯直达

1楼 [收藏(0)] [报告]

发表于 2009-03-24 16:50 |只看该作者 |倒序浏览

看到前面帖子中的“PREROUTING链只会匹配流的第一个包，也就是说，这个流的所有其他的包都不会被此链检查。”
我通过ping命令测试，我用iptables -t nat -nvL查看匹配到nat规则的包是一值再增加的啊？为什么啊？

2楼 [报告]

发表于 2009-03-24 20:23 |只看该作者

ping 在 conntrack 中，自动快速建立和消亡，每次 ping 一个来回，算一次 new connection

3楼 [报告]

发表于 2009-03-24 21:32 |只看该作者

回复 #1 wangxiaoguang 的帖子

都是新的连接在建立

4楼 [报告]

发表于 2009-03-25 09:19 |只看该作者

回复 #2 platinum 的帖子

conntrack-->nat-->mangle,是不是说对于conntack表中已有的连接，数据包是不再匹配prerouting/postrouting的nat表中的规则？mangle表会继续匹配吧？

5楼 [报告]

发表于 2009-03-25 11:27 |只看该作者

原帖由 wangxiaoguang 于 2009-3-25 09:19 发表
conntrack-->nat-->mangle,是不是说对于conntack表中已有的连接，数据包是不再匹配prerouting/postrouting的nat表中的规则？mangle表会继续匹配吧？

顺序错了
应该是 conntrack -> mangle -> nat
mangle、nat、filter 的入口点各不相同，要完成的工作也不同，没有可比性的