海运的博客

最近在用iptables mark后做qos，当规则更新后要先清空下conntrack，不然之前已建立连接的mark并不改变，影响后续的判断。
使用conntrack工具：

conntrack -F

openwrt可使用以下方法：

echo f > /proc/net/nf_conntrack

openwrt如有开启hnat需先关闭再清除conntrack，不然无效，如mtk/360t7闭源驱动：

echo 0 > /sys/kernel/debug/hnat/qos_toggle
echo 0 > /sys/kernel/debug/hnat/hook_toggle

https://forum.openwrt.org/t/mwan3-how-to-flush-firewall-conntrack-table/133776

之前有写不同网段间转发mdns消息，对于依赖udp广播的程序可通过iptables tee镜像流量转发广播到不同网段。
安装tee模块：

opkg install iptables-mod-tee

#将10.0.0.0网段udp广播目标端口9687转发到10.0.1.0网段
iptables -t mangle -I INPUT -i br-lan -d 255.255.255.255 -p udp --dport 9687 -m ttl --ttl-gt 0 -j TTL --ttl-set 1
iptables -t mangle -I INPUT -i br-lan -d 255.255.255.255 -p udp --dport 9687 -m ttl --ttl-gt 0 -j TEE --gateway 10.0.1.255

#反向
iptables -t mangle -I INPUT -i br-robot -d 255.255.255.255 -p udp --dport 9687 -m ttl --ttl-gt 0 -j TTL --ttl-set 1
iptables -t mangle -I INPUT -i br-robot -d 255.255.255.255 -p udp --dport 9687 -m ttl --ttl-gt 0 -j TEE --gateway 10.0.0.255

iptables放行9687数据包：

iptables -A FORWARD -i br-robot -o br-lan -p udp --dport 9687 -j ACCEPT

不支持iptables tee模块可使用独立的udp广播转发程序：
https://github.com/nomeata/udp-broadcast-relay
参考：
https://odi.ch/weblog/posting.php?posting=731

最近一项目频繁创建多网卡接口SNAT，发现在部分在SNAT规则后并不实时生效，如果持续尝试连接指定连接会一直不生效，停止后过段时间或测试其它连接就正常了，原因是：
Linux的NAT不能及时生效，因为它是基于ip_conntrack的，如果在NAT的iptables规则添加之前，此流的数据包已经绑定了一个ip_conntrack，那么该NAT规则就不会生效，直到此ip_conntrack过期，如果一直有数据在鲁莽地尝试传输，那么就会陷入僵持状态。
http://blog.csdn.net/dog250/article/details/17654157

Iptables实现NAT是最基本的功能，大部分家用路由都是基于其SNAT方式上网，使用Iptables实现外网DNAT也很简单，不过经常会出现不能正常NAT的现象。
以下命令将客户端访问1.1.1.1的HTTP数据DNAT到2.2.2.2，很多人往往只做这一步，然后测试不能正常连接。

iptables -t nat -A PREROUTING -p tcp -d 1.1.1.1 --dport 80 -j DNAT --to 2.2.2.2:80

想像一下此时客户端访问1.1.1.1的数据流程：

客户端访问1.1.1.1
1.1.1.1根据Iptables DNA将数据包发往2.2.2.2，此时源IP为客户端IP
2.2.2.2处理后根据源IP直接向客户端返回数据，要知道此时客户端是直接和1.1.1.1连接的
然后呢，客户端不知所云，不能正常连接

最后还要添加一条SNAT规则，将发到2.2.2.2的数据包SNAT，1.1.1.1充当代理服务器的角色。

iptables -t nat -A POSTROUTING -d 2.2.2.2 -j SNAT --to-source 1.1.1.1

别忘记开启内核转发功能：

echo 1 > /proc/sys/net/ipv4/ip_forward