Post #427

在床上大叫：iptables 我 CNM！ nat 表 POSTROUTING 链貌似（但有九成把握）只会对一个 skb 执行一次。如果我的数据面是 veth -> vhost -> vnet -> eth0 且在 veth -> vhost 这一次 host forwarding 的时候执行了 nat POSTROUTING，那么在 vnet -> eth0 的时候就不会执行！这个潜规则貌似（但）只有 nat POSTROUTING 才有，像 mangle POSTROUTING 就听话得像一只鸡。 这也是 iptables 的另一个观测难题：我们可以想办法 trace “哪些规则被命中了”，但是不能简单用 trace 来解释“为什么有些规则看起来应该命中却没有”。 实现上可能是通过 skb->nfct 来控制的，走过一次 nat POSTROUTING 可能被认为是 ct 处理过，如果再走一次害怕会 ct conflict，所以直接标记为不再执行。 但是文档呢？你吗的文档呢？