在 iptables 中新增重定向規則後，Tcpdump 顯示不同的重定向端口

Question

需要明確的是：OP 的測試是從系統 192.168.1.100 對其自身進行的，而不是從遠端系統進行的，這就是問題的原因。在這種情況下，連接埠沒有更改，因為沒有匹配的 NAT 規則，而如果從遠端系統完成，則連接埠會匹配。

下圖顯示如何對資料包執行操作順序：

原因在於 NAT 在 Linux 上的運作原理：iptablesnat僅在新 conntrack 流的第一個資料包（因此處於 NEW 狀態）中看到表中的資料包。

當來自遠端系統時，此規則運作良好。在這種情況下，看到的第一個資料包將是傳入資料包：

to port 8000 --> AF_PACKET (tcpdump) --> conntrack --> nat/PREROUTING (iptables REDIRECT): to port 30000
--> routing decision --> ... --> local process receiving on port 30000

同一流中的所有後續資料包將讓 conntrack 直接處理連接埠變更（或用於回應的連接埠復原），並將跳過表中的任何 iptables 規則nat（如示意圖所示：nat僅針對NEW連接查詢表）。因此，（跳過回覆資料包部分），下一個傳入資料包將經歷以下情況：

to port 8000 --> AF_PACKET (tcpdump) --> conntrack: to port 30000
--> routing decision --> ... --> local process receiving on port 30000

對於系統本身的測試，第一個資料包不是傳入資料包，而是傳出資料包。相反，使用傳出lo介面會發生這種情況：

local process client curl --> routing decision --> conntrack --> nat/OUTPUT (no rule here)
--> reroute check --> AF_PACKET (tcpdump) --> to port 8000

現在這個資料包在介面上環回lo，它重新顯示為一個資料包，不再是連接中的第一個資料包，因此遵循上面的第二種情況： conntrack 單獨處理 NAT 並且不呼叫nat/PREROUTING.除了先前的步驟中沒有指示執行任何 NAT 之外：

to port 8000 --> AF_PACKET (tcpdump) --> conntrack
--> routing decision --> ... -->nolocal process receiving on port8000

由於連接埠 8000 上沒有任何監聽，作業系統會發回 TCP RST。

為了使其在本機系統上運行，REDIRECT還必須將規則放入nat/OUTPUT鏈中：

iptables -t nat -I OUTPUT -d 192.168.1.100 -p tcp --dport 8000 -j REDIRECT --to-port 30000

補充筆記

如果該案例用於遠端使用，請不要從本機系統進行測試：測試遍歷的規則不相同。這使得測試不能反映現實。

只需使用網路命名空間來建立袖珍遠端系統，以防沒有其他系統可用。應該與僅具有 OPnat/PREROUTING規則和操作的系統一起使用的範例curl http://192.168.1.100/（不需要 DNS）：
```
ip netns add remotesystem
ip link add name vethremote up type veth peer netns remotesystem name eth0
ip address add 192.0.2.1/24 dev vethremote
ip -n remotesystem address add 192.0.2.2/24 dev eth0
ip -n remotesystem link set eth0 up
ip -n remotesystem route add 192.168.1.100 via 192.0.2.1
ip netns exec remotesystem curl http://192.168.1.100:8000/
```
tcpdump和網路位址轉換

tcpdump發生在AF_PACKET上面示意圖中的步驟：入口非常早，出口非常晚。這意味著對於遠端系統情況，即使它正在工作，它也永遠不會捕獲連接埠 30000。對於本機系統情況，一旦nat/OUTPUT新增規則，它將捕獲連接埠 30000。

只是不要盲目相信進行 NAT 時顯示的位址/連接埠tcpdump：這取決於情況以及捕獲發生的位置。

Answer 1