请教iptables规则匹配问题

youke

我现在有一台防火墙，里面配置了特别多的iptables规则，现在我想增加一条DNAT策略，但是发现不成功，检查后认为应该是FORWARD链上的策略配置导致不通的，请问有什么方法可以查看数据是匹配哪条策略的？

或者说有没有方法在firewall上模拟客户访问DNAT服务器的行为，然后再取看看规则是怎么匹配的？

marsaber

最基础的规则10条，还有90条规则是针对服务的。
先跑最基础的10条规则，业务正常；
对于另外90条规则使用二分法排除。

marsaber

其实，从你的规则入手最简单了。
就看你的功底了。

youke

生产环境，规则大概有1500条，和FORWARD有关的大约900条。。。实际慢慢看也不是看不出来，只是太麻烦，我想问有没有快速定位的办法。我现在解决方法比较简单，就是把对应DNAT的那条FORWARD策略用-I加入到规则集中，自然就能通了，但是这毕竟不是长久之计。

我想的是这样，比如我从客户端发起一次连接，然后在防火墙上看看都匹配了什么规则，这样就知道数据包是在哪一步被丢弃或者转发了。