iptables設(shè)置mark的問題

neodreamerus

iptables設(shè)置mark的問題


1.
A的eth0 (ip 192.168.1.1)連接B的eth0 (ip 192.168.1.2)
A的eth1 (ip 192.168.2.1)連接B的eth1 (ip 192.168.2.2)
設(shè)置好ip連通后在主路由表里會出現(xiàn)默認的路由

2.
在B中設(shè)置路由 ip ro add 192.168.1.1 via 192.168.2.1 table 10

3.
設(shè)置rule:  ip ru add fwark 10 table 10

4.
然后B設(shè)置iptables -t mangle -A PREROUTING -j MARK --set-mark 10

5.
在B里ping 192.168.1.1發(fā)現(xiàn)icmp包是通過192.168.1.2 (eth0)出去的，
按照我的設(shè)想B出去的所有包都會打上mark=10的標記，有mark=10標記的包會優(yōu)先使用table 10，
但是從結(jié)果看table 10沒有用到。



如果設(shè)置rule改為 ip ru add table 10的話，
會發(fā)現(xiàn)ping 192.168.1.1的icmp包是從192.168.2.2（eth1）出去的。

難道iptables設(shè)置mark沒起作用嗎？

neodreamerus

說的不夠清楚嗎？

lihongweibj

第4條，你在B機器的PREROUTING鏈的mangle下下做了策略，你又在B機器本身測試，肯定是不生效的，你在B機器測試的數(shù)據(jù)包不會經(jīng)過PREROUTING鏈的。