iptables无法过滤

阿鸾44

以下规则是openWrt（也是linux）默认规则，

配置大概是这样：这是一个宽带路由器（NAT设备），WAN网口使用DHCP获取ip，LAN口也作为DHCP服务器。配置了SNAT（MASQUERADE）。正常情况下，通过WAN口上行的数据的源ip被改成路由器WAN口ip，下行数据通过connect track自动把目的地址替换成内网IP。


那么，问题来了，(假设内网某主机ip是192.168.1.128，测试过程中这台主机不间断高速下载)
现象是：
1、通过SNAT上网正常
2、通过 iptables -I FORWARD -d 192.168.1.128 -j DROP  想达到禁止下载，不生效，电脑正常下载
3、针对2的现象作调试：通过iptables -L FORWARD -nv查看统计，发现filter表FORWARD链无明显的大流量通过
4、针对2的现象作调试， 通过iptables -t mangle -L FORWARD -nv查看统计，发现mangle表FORWARD有明显流量通过，目测接近下载速度。
5、通过 iptables -I FORWARD -s 192.168.1.128 -j DROP，生效，电脑不能下载（因为连接是双向的）



个人理解：根据iptables处理顺序，在FORWARD中，先执行mangle表、再执行filter表，除非mangle处理结果为DROP，否则数据将无条件经过filter


问：为什么下载时数据不经过FORWARD链的filter表？






以下是iptables 规则

---

1. 
   
2. 
   
3. root@OpenWrt:~#iptables -L
   
4. Chain INPUT (policy ACCEPT)
   
5. target     prot opt source               destination         
   
6. delegate_input  all  --  anywhere             anywhere            
   
7. 
   
8. Chain FORWARD (policy DROP)
   
9. target     prot opt source               destination         
   
10. DROP       all  --  anywhere             PC201409180946.lan  
    
11. p2pblock   udp  --  anywhere             anywhere             udp spts:1024:65535 dpts:1024:65535
    
12. p2pblock   tcp  --  anywhere             anywhere             tcp spts:1024:65535 dpts:1024:65535
    
13. delegate_forward  all  --  anywhere             anywhere            
    
14. 
    
15. Chain OUTPUT (policy ACCEPT)
    
16. target     prot opt source               destination         
    
17. DROP       all  --  192.168.1.90         anywhere            
    
18. delegate_output  all  --  anywhere             anywhere            
    
19. 
    
20. Chain BCP38 (3 references)
    
21. target     prot opt source               destination         
    
22. RETURN     udp  --  anywhere             anywhere             udp spts:bootps:bootpc dpts:bootps:bootpc
    
23. REJECT     all  --  anywhere             anywhere             match-set bcp38-ipv4 dst reject-with icmp-net-unreachable
    
24. DROP       all  --  anywhere             anywhere             match-set bcp38-ipv4 src
    
25. 
    
26. Chain MINIUPNPD (1 references)
    
27. target     prot opt source               destination         
    
28. ACCEPT     tcp  --  anywhere             192.168.1.22         tcp dpt:10946
    
29. ACCEPT     udp  --  anywhere             192.168.1.22         udp dpt:10489
    
30. ACCEPT     tcp  --  anywhere             PC201409180946.lan   tcp dpt:10946
    
31. ACCEPT     udp  --  anywhere             PC201409180946.lan   udp dpt:10489
    
32. 
    
33. Chain delegate_forward (1 references)
    
34. target     prot opt source               destination         
    
35. forwarding_rule  all  --  anywhere             anywhere             /* user chain for forwarding */
    
36. ACCEPT     all  --  anywhere             anywhere             ctstate RELATED,ESTABLISHED
    
37. ACCEPT     all  --  anywhere             192.168.1.22         /* ddrop */
    
38. zone_lan_forward  all  --  anywhere             anywhere            
    
39. zone_wan_forward  all  --  anywhere             anywhere            
    
40. reject     all  --  anywhere             anywhere            
    
41. 
    
42. Chain delegate_input (1 references)
    
43. target     prot opt source               destination         
    
44. ACCEPT     all  --  anywhere             anywhere            
    
45. input_rule  all  --  anywhere             anywhere             /* user chain for input */
    
46. ACCEPT     all  --  anywhere             anywhere             ctstate RELATED,ESTABLISHED
    
47. syn_flood  tcp  --  anywhere             anywhere             tcp flags:FIN,SYN,RST,ACK/SYN
    
48. zone_lan_input  all  --  anywhere             anywhere            
    
49. zone_wan_input  all  --  anywhere             anywhere            
    
50. 
    
51. Chain delegate_output (1 references)
    
52. target     prot opt source               destination         
    
53. ACCEPT     all  --  anywhere             anywhere            
    
54. output_rule  all  --  anywhere             anywhere             /* user chain for output */
    
55. ACCEPT     all  --  anywhere             anywhere             ctstate RELATED,ESTABLISHED
    
56. zone_lan_output  all  --  anywhere             anywhere            
    
57. zone_wan_output  all  --  anywhere             anywhere            
    
58. 
    
59. Chain forwarding_lan_rule (1 references)
    
60. target     prot opt source               destination         
    
61. 
    
62. Chain forwarding_rule (1 references)
    
63. target     prot opt source               destination         
    
64. BCP38      all  --  anywhere             anywhere            
    
65. 
    
66. Chain forwarding_wan_rule (1 references)
    
67. target     prot opt source               destination         
    
68. 
    
69. Chain input_lan_rule (1 references)
    
70. target     prot opt source               destination         
    
71. 
    
72. Chain input_rule (1 references)
    
73. target     prot opt source               destination         
    
74. BCP38      all  --  anywhere             anywhere            
    
75. 
    
76. Chain input_wan_rule (1 references)
    
77. target     prot opt source               destination         
    
78. 
    
79. Chain luci_splash_filter (1 references)
    
80. target     prot opt source               destination         
    
81. REJECT     tcp  --  anywhere             anywhere             reject-with tcp-reset
    
82. REJECT     all  --  anywhere             anywhere             reject-with icmp-net-prohibited
    
83. 
    
84. Chain luci_splash_forwarding (0 references)
    
85. target     prot opt source               destination         
    
86. RETURN     all  --  anywhere             lvps176-28-11-93.dedicated.hosteurope.de
    
87. luci_splash_filter  all  --  anywhere             anywhere            
    
88. 
    
89. Chain output_lan_rule (1 references)
    
90. target     prot opt source               destination         
    
91. 
    
92. Chain output_rule (1 references)
    
93. target     prot opt source               destination         
    
94. BCP38      all  --  anywhere             anywhere            
    
95. 
    
96. Chain output_wan_rule (1 references)
    
97. target     prot opt source               destination         
    
98. 
    
99. Chain p2pblock (2 references)
    
100. target     prot opt source               destination         
     
101. LOG        all  --  anywhere             anywhere             -m ipp2p  --apple  limit: avg 1/min burst 5 LOG level warning prefix "P2PBLOCK-seen-apple:"
     
102.            all  --  anywhere             anywhere             -m ipp2p  --apple  recent: SET name: P2PBLOCK side: dest mask: 255.255.255.255
     
103. LOG        all  --  anywhere             anywhere             -m ipp2p  --winmx  limit: avg 1/min burst 5 LOG level warning prefix "P2PBLOCK-seen-winmx:"
     
104.            all  --  anywhere             anywhere             -m ipp2p  --winmx  recent: SET name: P2PBLOCK side: dest mask: 255.255.255.255
     
105. LOG        all  --  anywhere             anywhere             -m ipp2p  --soul  limit: avg 1/min burst 5 LOG level warning prefix "P2PBLOCK-seen-soul:"
     
106.            all  --  anywhere             anywhere             -m ipp2p  --soul  recent: SET name: P2PBLOCK side: dest mask: 255.255.255.255
     
107. LOG        all  --  anywhere             anywhere             -m ipp2p  --ares  limit: avg 1/min burst 5 LOG level warning prefix "P2PBLOCK-seen-ares:"
     
108.            all  --  anywhere             anywhere             -m ipp2p  --ares  recent: SET name: P2PBLOCK side: dest mask: 255.255.255.255
     
109. LOG        all  --  anywhere             anywhere             -m ipp2p  --bit  limit: avg 1/min burst 5 LOG level warning prefix "P2PBLOCK-seen-bit:"
     
110.            all  --  anywhere             anywhere             -m ipp2p  --bit  recent: SET name: P2PBLOCK side: dest mask: 255.255.255.255
     
111. LOG        all  --  anywhere             anywhere             -m ipp2p  --gnu  limit: avg 1/min burst 5 LOG level warning prefix "P2PBLOCK-seen-gnu:"
     
112.            all  --  anywhere             anywhere             -m ipp2p  --gnu  recent: SET name: P2PBLOCK side: dest mask: 255.255.255.255
     
113. LOG        all  --  anywhere             anywhere             -m ipp2p  --kazaa  limit: avg 1/min burst 5 LOG level warning prefix "P2PBLOCK-seen-kazaa:"
     
114.            all  --  anywhere             anywhere             -m ipp2p  --kazaa  recent: SET name: P2PBLOCK side: dest mask: 255.255.255.255
     
115. LOG        all  --  anywhere             anywhere             -m ipp2p  --dc  limit: avg 1/min burst 5 LOG level warning prefix "P2PBLOCK-seen-dc:"
     
116.            all  --  anywhere             anywhere             -m ipp2p  --dc  recent: SET name: P2PBLOCK side: dest mask: 255.255.255.255
     
117. LOG        all  --  anywhere             anywhere             -m ipp2p  --edk  limit: avg 1/min burst 5 LOG level warning prefix "P2PBLOCK-seen-edk:"
     
118.            all  --  anywhere             anywhere             -m ipp2p  --edk  recent: SET name: P2PBLOCK side: dest mask: 255.255.255.255
     
119. LOG        all  --  anywhere             anywhere             recent: CHECK seconds: 60 hit_count: 3 name: P2PBLOCK side: dest mask: 255.255.255.255 limit: avg 1/min burst 5 LOG level warning prefix "P2PBLOCK-DROP:"
     
120. DROP       all  --  anywhere             anywhere             recent: CHECK seconds: 60 hit_count: 3 name: P2PBLOCK side: dest mask: 255.255.255.255
     
121. 
     
122. Chain reject (3 references)
     
123. target     prot opt source               destination         
     
124. REJECT     tcp  --  anywhere             anywhere             reject-with tcp-reset
     
125. REJECT     all  --  anywhere             anywhere             reject-with icmp-port-unreachable
     
126. 
     
127. Chain syn_flood (1 references)
     
128. target     prot opt source               destination         
     
129. RETURN     tcp  --  anywhere             anywhere             tcp flags:FIN,SYN,RST,ACK/SYN limit: avg 25/sec burst 50
     
130. DROP       all  --  anywhere             anywhere            
     
131. 
     
132. Chain zone_lan_dest_ACCEPT (2 references)
     
133. target     prot opt source               destination         
     
134. ACCEPT     all  --  anywhere             anywhere            
     
135. 
     
136. Chain zone_lan_forward (1 references)
     
137. target     prot opt source               destination         
     
138. forwarding_lan_rule  all  --  anywhere             anywhere             /* user chain for forwarding */
     
139. zone_wan_dest_ACCEPT  all  --  anywhere             anywhere             /* forwarding lan -> wan */
     
140. ACCEPT     all  --  anywhere             anywhere             ctstate DNAT /* Accept port forwards */
     
141. zone_lan_dest_ACCEPT  all  --  anywhere             anywhere            
     
142. 
     
143. Chain zone_lan_input (1 references)
     
144. target     prot opt source               destination         
     
145. input_lan_rule  all  --  anywhere             anywhere             /* user chain for input */
     
146. ACCEPT     all  --  anywhere             anywhere             ctstate DNAT /* Accept port redirections */
     
147. zone_lan_src_ACCEPT  all  --  anywhere             anywhere            
     
148. 
     
149. Chain zone_lan_output (1 references)
     
150. target     prot opt source               destination         
     
151. output_lan_rule  all  --  anywhere             anywhere             /* user chain for output */
     
152. zone_lan_dest_ACCEPT  all  --  anywhere             anywhere            
     
153. 
     
154. Chain zone_lan_src_ACCEPT (1 references)
     
155. target     prot opt source               destination         
     
156. ACCEPT     all  --  anywhere             anywhere            
     
157. 
     
158. Chain zone_wan_dest_ACCEPT (2 references)
     
159. target     prot opt source               destination         
     
160. ACCEPT     all  --  anywhere             anywhere            
     
161. 
     
162. Chain zone_wan_dest_REJECT (1 references)
     
163. target     prot opt source               destination         
     
164. reject     all  --  anywhere             anywhere            
     
165. 
     
166. Chain zone_wan_forward (1 references)
     
167. target     prot opt source               destination         
     
168. MINIUPNPD  all  --  anywhere             anywhere            
     
169. forwarding_wan_rule  all  --  anywhere             anywhere             /* user chain for forwarding */
     
170. ACCEPT     all  --  anywhere             anywhere             ctstate DNAT /* Accept port forwards */
     
171. zone_wan_dest_REJECT  all  --  anywhere             anywhere            
     
172. 
     
173. Chain zone_wan_input (1 references)
     
174. target     prot opt source               destination         
     
175. input_wan_rule  all  --  anywhere             anywhere             /* user chain for input */
     
176. ACCEPT     udp  --  anywhere             anywhere             udp dpt:bootpc /* Allow-DHCP-Renew */
     
177. ACCEPT     icmp --  anywhere             anywhere             icmp echo-request /* Allow-Ping */
     
178. ACCEPT     all  --  anywhere             anywhere             ctstate DNAT /* Accept port redirections */
     
179. zone_wan_src_REJECT  all  --  anywhere             anywhere            
     
180. 
     
181. Chain zone_wan_output (1 references)
     
182. target     prot opt source               destination         
     
183. output_wan_rule  all  --  anywhere             anywhere             /* user chain for output */
     
184. zone_wan_dest_ACCEPT  all  --  anywhere             anywhere            
     
185. 
     
186. Chain zone_wan_src_REJECT (1 references)
     
187. target     prot opt source               destination         
     
188. reject     all  --  anywhere             anywhere            
     
189. root@OpenWrt:~#
     
190. root@OpenWrt:~#
     
191. root@OpenWrt:~#
     
192. root@OpenWrt:~#
     
193. root@OpenWrt:~#
     
194. root@OpenWrt:~#
     
195. root@OpenWrt:~#
     
196. root@OpenWrt:~#
     
197. root@OpenWrt:~#
     
198. root@OpenWrt:~#
     
199. root@OpenWrt:~#
     
200. root@OpenWrt:~#
     
201. root@OpenWrt:~#
     
202. root@OpenWrt:~#
     
203. root@OpenWrt:~#
     
204. root@OpenWrt:~#
     
205. root@OpenWrt:~#
     
206. root@OpenWrt:~#
     
207. root@OpenWrt:~#
     
208. root@OpenWrt:~#
     
209. root@OpenWrt:~#
     
210. root@OpenWrt:~#
     
211. root@OpenWrt:~#
     
212. root@OpenWrt:~#
     
213. root@OpenWrt:~#
     
214. root@OpenWrt:~#
     
215. root@OpenWrt:~#
     
216. root@OpenWrt:~#iptables -t mangle -L
     
217. Chain PREROUTING (policy ACCEPT)
     
218. target     prot opt source               destination         
     
219. luci_splash_mark_out  all  --  anywhere             anywhere            
     
220. mwan3_hook  all  --  anywhere             anywhere            
     
221. fwmark     all  --  anywhere             anywhere            
     
222. 
     
223. Chain INPUT (policy ACCEPT)
     
224. target     prot opt source               destination         
     
225. 
     
226. Chain FORWARD (policy ACCEPT)
     
227. target     prot opt source               destination         
     
228. mssfix     all  --  anywhere             anywhere            
     
229. 
     
230. Chain OUTPUT (policy ACCEPT)
     
231. target     prot opt source               destination         
     
232. mwan3_hook  all  --  anywhere             anywhere            
     
233. mwan3_output_hook  all  --  anywhere             anywhere            
     
234. 
     
235. Chain POSTROUTING (policy ACCEPT)
     
236. target     prot opt source               destination         
     
237. luci_splash_mark_in  all  --  anywhere             anywhere            
     
238. 
     
239. Chain fwmark (1 references)
     
240. target     prot opt source               destination         
     
241. 
     
242. Chain luci_splash_mark_in (1 references)
     
243. target     prot opt source               destination         
     
244. 
     
245. Chain luci_splash_mark_out (1 references)
     
246. target     prot opt source               destination         
     
247. 
     
248. Chain mssfix (1 references)
     
249. target     prot opt source               destination         
     
250. TCPMSS     tcp  --  anywhere             anywhere             tcp flags:SYN,RST/SYN /* wan (mtu_fix) */ TCPMSS clamp to PMTU
     
251. 
     
252. Chain mwan3_connected (2 references)
     
253. target     prot opt source               destination         
     
254. MARK       all  --  anywhere             127.0.0.0/8          MARK or 0xff00
     
255. MARK       all  --  anywhere             base-address.mcast.net/3  MARK or 0xff00
     
256. MARK       all  --  anywhere             10.20.12.0/24        MARK or 0xff00
     
257. MARK       all  --  anywhere             192.168.1.0/24       MARK or 0xff00
     
258. 
     
259. Chain mwan3_hook (2 references)
     
260. target     prot opt source               destination         
     
261. CONNMARK   all  --  anywhere             anywhere             CONNMARK restore mask 0xff00
     
262. mwan3_ifaces  all  --  anywhere             anywhere             mark match 0x0/0xff00
     
263. mwan3_connected  all  --  anywhere             anywhere             mark match 0x0/0xff00
     
264. mwan3_rules  all  --  anywhere             anywhere             mark match 0x0/0xff00
     
265. CONNMARK   all  --  anywhere             anywhere             CONNMARK save mask 0xff00
     
266. mwan3_connected  all  --  anywhere             anywhere             mark match ! 0xff00/0xff00
     
267. 
     
268. Chain mwan3_iface_wan (1 references)
     
269. target     prot opt source               destination         
     
270. MARK       all  --  10.20.12.0/24        anywhere             mark match 0x0/0xff00 /* default */ MARK or 0xff00
     
271. MARK       all  --  anywhere             anywhere             mark match 0x0/0xff00 /* wan */ MARK xset 0x100/0xff00
     
272. 
     
273. Chain mwan3_ifaces (1 references)
     
274. target     prot opt source               destination         
     
275. mwan3_iface_wan  all  --  anywhere             anywhere             mark match 0x0/0xff00
     
276. 
     
277. Chain mwan3_output_hook (1 references)
     
278. target     prot opt source               destination         
     
279. mwan3_track_wan  icmp --  anywhere             anywhere             icmp echo-request length 32
     
280. 
     
281. Chain mwan3_policy_balanced (1 references)
     
282. target     prot opt source               destination         
     
283. MARK       all  --  anywhere             anywhere             mark match 0x0/0xff00 /* wan 3 3 */ MARK xset 0x100/0xff00
     
284. 
     
285. Chain mwan3_policy_wan2_only (0 references)
     
286. target     prot opt source               destination         
     
287. MARK       all  --  anywhere             anywhere             mark match 0x0/0xff00 /* unreachable */ MARK xset 0xfe00/0xff00
     
288. 
     
289. Chain mwan3_policy_wan2_wan (1 references)
     
290. target     prot opt source               destination         
     
291. MARK       all  --  anywhere             anywhere             mark match 0x0/0xff00 /* wan 3 3 */ MARK xset 0x100/0xff00
     
292. 
     
293. Chain mwan3_policy_wan_only (0 references)
     
294. target     prot opt source               destination         
     
295. MARK       all  --  anywhere             anywhere             mark match 0x0/0xff00 /* wan 3 3 */ MARK xset 0x100/0xff00
     
296. 
     
297. Chain mwan3_policy_wan_wan2 (1 references)
     
298. target     prot opt source               destination         
     
299. MARK       all  --  anywhere             anywhere             mark match 0x0/0xff00 /* wan 3 3 */ MARK xset 0x100/0xff00
     
300. 
     
301. Chain mwan3_rules (1 references)
     
302. target     prot opt source               destination         
     
303. mwan3_policy_wan_wan2  tcp  --  0.0.0.0/0.0.0.1      anywhere             multiport sports 0:65535 multiport dports https mark match 0x0/0xff00 /* sticky_even */
     
304. mwan3_policy_wan2_wan  tcp  --  0.0.0.1/0.0.0.1      anywhere             multiport sports 0:65535 multiport dports https mark match 0x0/0xff00 /* sticky_odd */
     
305. mwan3_policy_balanced  all  --  anywhere             anywhere             mark match 0x0/0xff00 /* default_rule */
     
306. 
     
307. Chain mwan3_track_wan (1 references)
     
308. target     prot opt source               destination         
     
309. MARK       all  --  anywhere             resolver2.opendns.com  MARK or 0xff00
     
310. MARK       all  --  anywhere             resolver1.opendns.com  MARK or 0xff00
     
311. MARK       all  --  anywhere             google-public-dns-a.google.com  MARK or 0xff00
     
312. MARK       all  --  anywhere             google-public-dns-b.google.com  MARK or 0xff00
     
313. 
     
314. Chain qos_Default (0 references)
     
315. target     prot opt source               destination         
     
316. CONNMARK   all  --  anywhere             anywhere             CONNMARK restore mask 0xf
     
317. qos_Default_ct  all  --  anywhere             anywhere             mark match 0x0/0xf
     
318. MARK       udp  --  anywhere             anywhere             mark match 0x0/0xf0 length 0:500 MARK xset 0x22/0xff
     
319. MARK       icmp --  anywhere             anywhere             MARK xset 0x11/0xff
     
320. MARK       tcp  --  anywhere             anywhere             mark match 0x0/0xf0 tcp spts:1024:65535 dpts:1024:65535 MARK xset 0x44/0xff
     
321. MARK       udp  --  anywhere             anywhere             mark match 0x0/0xf0 udp spts:1024:65535 dpts:1024:65535 MARK xset 0x44/0xff
     
322. CONNMARK   all  --  anywhere             anywhere             CONNMARK save mask 0xf0
     
323. 
     
324. Chain qos_Default_ct (1 references)
     
325. target     prot opt source               destination         
     
326. MARK       tcp  --  anywhere             anywhere             mark match 0x0/0xf tcp multiport ports ssh,domain /* ssh, dns */ MARK xset 0x11/0xff
     
327. MARK       udp  --  anywhere             anywhere             mark match 0x0/0xf udp multiport ports ssh,domain /* ssh, dns */ MARK xset 0x11/0xff
     
328. MARK       tcp  --  anywhere             anywhere             mark match 0x0/0xf tcp multiport ports ftp-data,ftp,smtp,www,pop3,https,imaps,pop3s /* ftp, smtp, http(s), imap */ MARK xset 0x33/0xff
     
329. MARK       tcp  --  anywhere             anywhere             mark match 0x0/0xf tcp multiport ports 5190 /* AOL, iChat, ICQ */ MARK xset 0x22/0xff
     
330. MARK       udp  --  anywhere             anywhere             mark match 0x0/0xf udp multiport ports 5190 /* AOL, iChat, ICQ */ MARK xset 0x22/0xff
     
331. CONNMARK   all  --  anywhere             anywhere             CONNMARK save mask 0xff
     
332. MARK       tcp  --  anywhere             anywhere             mark match 0x0/0xf tcp multiport ports ssh,domain /* ssh, dns */ MARK xset 0x11/0xff
     
333. MARK       udp  --  anywhere             anywhere             mark match 0x0/0xf udp multiport ports ssh,domain /* ssh, dns */ MARK xset 0x11/0xff
     
334. MARK       tcp  --  anywhere             anywhere             mark match 0x0/0xf tcp multiport ports ftp-data,ftp,smtp,www,pop3,https,imaps,pop3s /* ftp, smtp, http(s), imap */ MARK xset 0x33/0xff
     
335. MARK       tcp  --  anywhere             anywhere             mark match 0x0/0xf tcp multiport ports 5190 /* AOL, iChat, ICQ */ MARK xset 0x22/0xff
     
336. MARK       udp  --  anywhere             anywhere             mark match 0x0/0xf udp multiport ports 5190 /* AOL, iChat, ICQ */ MARK xset 0x22/0xff
     
337. root@OpenWrt:~#
     
338. root@OpenWrt:~#
     
339. root@OpenWrt:~#
     
340. root@OpenWrt:~#
     
341. root@OpenWrt:~#
     
342. root@OpenWrt:~#
     
343. root@OpenWrt:~#
     
344. root@OpenWrt:~#
     
345. root@OpenWrt:~#
     
346. root@OpenWrt:~#iptables -t nat -L
     
347. Chain PREROUTING (policy ACCEPT)
     
348. target     prot opt source               destination         
     
349. DNAT       all  --  anywhere             10.20.12.13          to:192.168.1.22
     
350. DNAT       tcp  --  anywhere             10.20.12.13          tcp dpt:8022 to:192.168.1.130:22
     
351. delegate_prerouting  all  --  anywhere             anywhere            
     
352. 
     
353. Chain INPUT (policy ACCEPT)
     
354. target     prot opt source               destination         
     
355. 
     
356. Chain OUTPUT (policy ACCEPT)
     
357. target     prot opt source               destination         
     
358. 
     
359. Chain POSTROUTING (policy ACCEPT)
     
360. target     prot opt source               destination         
     
361. delegate_postrouting  all  --  anywhere             anywhere            
     
362. 
     
363. Chain MINIUPNPD (1 references)
     
364. target     prot opt source               destination         
     
365. DNAT       tcp  --  anywhere             anywhere             tcp dpt:10946 to:192.168.1.22:10946
     
366. DNAT       udp  --  anywhere             anywhere             udp dpt:10946 to:192.168.1.22:10489
     
367. DNAT       tcp  --  anywhere             anywhere             tcp dpt:17083 to:192.168.1.128:10946
     
368. DNAT       udp  --  anywhere             anywhere             udp dpt:17083 to:192.168.1.128:10489
     
369. 
     
370. Chain delegate_postrouting (1 references)
     
371. target     prot opt source               destination         
     
372. postrouting_rule  all  --  anywhere             anywhere             /* user chain for postrouting */
     
373. zone_lan_postrouting  all  --  anywhere             anywhere            
     
374. zone_wan_postrouting  all  --  anywhere             anywhere            
     
375. 
     
376. Chain delegate_prerouting (1 references)
     
377. target     prot opt source               destination         
     
378. prerouting_rule  all  --  anywhere             anywhere             /* user chain for prerouting */
     
379. zone_lan_prerouting  all  --  anywhere             anywhere            
     
380. zone_wan_prerouting  all  --  anywhere             anywhere            
     
381. 
     
382. Chain luci_splash_leases (1 references)
     
383. target     prot opt source               destination         
     
384. REDIRECT   udp  --  anywhere             anywhere             udp dpt:domain redir ports 53
     
385. REDIRECT   tcp  --  anywhere             anywhere             tcp dpt:www redir ports 8082
     
386. 
     
387. Chain luci_splash_prerouting (0 references)
     
388. target     prot opt source               destination         
     
389. RETURN     all  --  anywhere             lvps176-28-11-93.dedicated.hosteurope.de
     
390. luci_splash_leases  all  --  anywhere             anywhere            
     
391. 
     
392. Chain postrouting_lan_rule (1 references)
     
393. target     prot opt source               destination         
     
394. 
     
395. Chain postrouting_rule (1 references)
     
396. target     prot opt source               destination         
     
397. 
     
398. Chain postrouting_wan_rule (1 references)
     
399. target     prot opt source               destination         
     
400. 
     
401. Chain prerouting_lan_rule (1 references)
     
402. target     prot opt source               destination         
     
403. 
     
404. Chain prerouting_rule (1 references)
     
405. target     prot opt source               destination         
     
406. 
     
407. Chain prerouting_wan_rule (1 references)
     
408. target     prot opt source               destination         
     
409. 
     
410. Chain zone_lan_postrouting (1 references)
     
411. target     prot opt source               destination         
     
412. postrouting_lan_rule  all  --  anywhere             anywhere             /* user chain for postrouting */
     
413. 
     
414. Chain zone_lan_prerouting (1 references)
     
415. target     prot opt source               destination         
     
416. prerouting_lan_rule  all  --  anywhere             anywhere             /* user chain for prerouting */
     
417. 
     
418. Chain zone_wan_postrouting (1 references)
     
419. target     prot opt source               destination         
     
420. postrouting_wan_rule  all  --  anywhere             anywhere             /* user chain for postrouting */
     
421. MASQUERADE  all  --  anywhere             anywhere            
     
422. 
     
423. Chain zone_wan_prerouting (1 references)
     
424. target     prot opt source               destination         
     
425. MINIUPNPD  all  --  anywhere             anywhere            
     
426. prerouting_wan_rule  all  --  anywhere             anywhere             /* user chain for prerouting */
     
427. root@OpenWrt:~#
     

复制代码

pheyx

可能和那几条miniupnpd的规则有关

yestreenstars

好复杂的iptables，看起来好费劲~{:3_201:}

阿鸾44

回复 2# pheyx


    谢谢你的回答！MINIUPNPD那些规则是我自己不知怎么配进去的，重启后没了，但上面的一样存在

阿鸾44

回复 3# yestreenstars


    可以这么看：其实就是3个表：filter（默认）、mangle、nat，我以大量换行分开了，然后是5个基本链，PREROUTING、INPUT、FORWARD、OUTPUT、POSTROUTING，后面乱七八糟的是自定义链，自定义链通过上面5条基本链跳转过去，比如说：INPUT的某条规则的target是MINIUPNPD，那么就跳到MINIUPNPD链执行规则，像函数调用一样

阿鸾44

回复 3# yestreenstars


    问题已解决，如果有兴趣可以看我的博客。



http://blog.chinaunix.net/uid-29690780-id-4578554.html

yestreenstars

回复 6# 阿鸾44

好的~{:3_193:}