从路由器转发时，数据包在网络接口和 iptables 之间的某个地方被丢弃

Question 1

系统默默丢弃数据包的原因有很多，但这种情况非常简单：你看到的结果是什么ip r g 34.73.148.195？由于除了 10.8.10.0/24 之外，你没有任何通过 enp10s0 的路由，因此你可以禁用 rp_filter ...或添加一些/正确的默认路由：

ip r a default via 10.8.10.1 dev enp10s0 metric 50

毕竟，这是路由器，而不是当地的网络在 vlan18 或 vlan150 上，不是吗？为什么要通过 vlan18 或 vlan150 访问外部世界？

由于 enp10s0 也是 DHCP 配置的，因此问题在于您的路由器未在服务器上设置默认路由。这解释了缺乏一致性的原因 - 如果路由出现，则您获得连接，如果路由消失，则您没有连接。

需要说明的是：在这样的服务器上使用 DHCP 绝对不是一个好主意。即使默认路由配置为静态且度量值较低（如上所述），一个恶意 DHCP 服务器也可以轻松插入更具体的网络；请考虑在 vlan18/150 上提供的 10.8.10.0/31（或实际上任何不超过 /25 的地址）——这样的地址肯定会将您排除在外恰当的(?) 通过 enp10s0 的默认路由。如果路由器是你的，并且你想使用它作为这默认路由，并仍保留其他（本地）接口上的 DHCP 配置，考虑使用 /31（或至少“经典”/30）连接地址。

无论如何，您的服务器是否应该通过 vlan18 或 vlan150 从外部世界访问，并通过其各自路由器上的某些其他转发规则进行访问？如果是这样，您将不得不应对基于策略的路由，因为响应数据包必须通过传入数据包的接口发送。毕竟，您在这里没有公共 IP，因此它不适用于非对称路由（一般不禁止）。

实际上，由于您无法进行非对称路由（没有公共 IP）并且没有基于策略的路由，因此您不应禁用 rp_filter - 这只会隐藏真正的问题。它无论如何都不起作用 - 您的路由器转发的数据包（可能是 DNAT 的）将被传送到您的服务器，但响应将传送到 vlan18 或 vlan150，而不是具有适当的 conntrack 条目并拥有发起连接的地址的路由器。

就这个问题而言 - 您可能会隐藏所有与 iptables 相关的内容。每次看到“静默”丢弃（即在 iptables 计数器中不可见）时，甚至不必费心进一步调查 netfilter 层中的问题。这可能是 NIC 丢弃（缓冲区问题、CPU 不足） - 可以使用 tcpdump、TTL 过期（转发时，对于具有非本地目的地的数据包）或某些内部过滤（如这里）（反向路径一）轻松验证。

Answer

系统默默丢弃数据包的原因有很多，但这种情况非常简单：你看到的结果是什么ip r g 34.73.148.195？由于除了 10.8.10.0/24 之外，你没有任何通过 enp10s0 的路由，因此你可以禁用 rp_filter ...或添加一些/正确的默认路由：

ip r a default via 10.8.10.1 dev enp10s0 metric 50

毕竟，这是路由器，而不是当地的网络在 vlan18 或 vlan150 上，不是吗？为什么要通过 vlan18 或 vlan150 访问外部世界？

由于 enp10s0 也是 DHCP 配置的，因此问题在于您的路由器未在服务器上设置默认路由。这解释了缺乏一致性的原因 - 如果路由出现，则您获得连接，如果路由消失，则您没有连接。

需要说明的是：在这样的服务器上使用 DHCP 绝对不是一个好主意。即使默认路由配置为静态且度量值较低（如上所述），一个恶意 DHCP 服务器也可以轻松插入更具体的网络；请考虑在 vlan18/150 上提供的 10.8.10.0/31（或实际上任何不超过 /25 的地址）——这样的地址肯定会将您排除在外恰当的(?) 通过 enp10s0 的默认路由。如果路由器是你的，并且你想使用它作为这默认路由，并仍保留其他（本地）接口上的 DHCP 配置，考虑使用 /31（或至少“经典”/30）连接地址。

无论如何，您的服务器是否应该通过 vlan18 或 vlan150 从外部世界访问，并通过其各自路由器上的某些其他转发规则进行访问？如果是这样，您将不得不应对基于策略的路由，因为响应数据包必须通过传入数据包的接口发送。毕竟，您在这里没有公共 IP，因此它不适用于非对称路由（一般不禁止）。

实际上，由于您无法进行非对称路由（没有公共 IP）并且没有基于策略的路由，因此您不应禁用 rp_filter - 这只会隐藏真正的问题。它无论如何都不起作用 - 您的路由器转发的数据包（可能是 DNAT 的）将被传送到您的服务器，但响应将传送到 vlan18 或 vlan150，而不是具有适当的 conntrack 条目并拥有发起连接的地址的路由器。

就这个问题而言 - 您可能会隐藏所有与 iptables 相关的内容。每次看到“静默”丢弃（即在 iptables 计数器中不可见）时，甚至不必费心进一步调查 netfilter 层中的问题。这可能是 NIC 丢弃（缓冲区问题、CPU 不足） - 可以使用 tcpdump、TTL 过期（转发时，对于具有非本地目的地的数据包）或某些内部过滤（如这里）（反向路径一）轻松验证。

Question 2

在数据包到达 FILTER 表的 INPUT 链之前，它需要经过以下表/链：

表链

原始预路由
mangle-PREROUTING
nat-PREROUTING
mangle-INPUT

默认情况下，即如果您省略 --table 参数，则您正在查看 FILTER 表。此外，在到达 filter-INPUT 之前，会在 nat-PREROUTING 和 mangle-INPUT 之间做出路由决策（即，如果路由决策得出结论认为数据包不是发往您的本地主机的，则它永远不会到达 filter-INPUT 链，而是进入 mangle-FORWARD / filter-FORWARD 链）。您可以尝试以下操作：

1.) 像上面一样为上述表和链添加日志条目。你能看到条目吗？它们在哪里停止？

2.）通过发出

iptables --list --table xxx
iptables --list-rules --table xxx

命令（其中 xxx 是 raw、mangle、nat）

3.) 仔细检查路由器 10.8.10.1 上的转发规则 => 它们是否确实到达了您的主机？

希望有所帮助。

（编辑）

我想到另一件事是，你的接口上唯一的路由是针对本地网络的，换句话说，如果路由器没有伪装从外界进入主机的数据包，那么这些数据包将被视为不可路由，因此会被反向路径过滤丢弃——你可能需要检查rp_filter 和 LPIC-3 Linux 安全

Answer