iptables: DNAT之前的过滤器

Question

iptables -t filter -A OUTPUT -d 1.2.3.4 -j DROP
iptables -t nat -A OUTPUT -p tcp -m owner --uid-owner abc -j DNAT --to 127.0.0.1:121

第一条规则不起作用，因为nat在筛选之前处理了它。有办法绕过它吗？

Answer 1

你不需要在DNAT之前过滤任何东西。你问错问题了。

您应该了解一下man iptables扩展，特别是模块conntrack及其选项--ctstate DNAT、--ctorigdst和--ctorigdstport。

Answer 2

iptables -t nat -A OUTPUT -d 1.2.3.4 -j ACCEPT
iptables -t nat -A OUTPUT -p tcp -m owner --uid-owner abc -j DNAT --to 127.0.0.1:121