@heaventear cf 感觉良好 已冲 plus

登录不上了

复现了 指向一个搞信息安全的人的博客 估计是被黑了

刚好有这个需求

@zero01 感谢推荐 回到家去试试

-A OUTPUT ! -d 127.0.0.0/8 -m addrtype --dst-type LOCAL -j DOCKER 这条规则也很怪匹配本地地址，但非环回地址，那 127.0.0.1 岂不是没法进入 docker 链，但是测试是可以的

@Yuanandyuan -P PREROUTING ACCEPT
-P INPUT ACCEPT
-P POSTROUTING ACCEPT
-P OUTPUT ACCEPT
-N LIBVIRT_PRT
-N DOCKER
-A PREROUTING -m addrtype --dst-type LOCAL -j DOCKER
-A POSTROUTING -s 172.17.0.0/16 ! -o docker0 -j MASQUERADE
-A POSTROUTING -j LIBVIRT_PRT
-A POSTROUTING -s 172.17.0.3/32 -d 172.17.0.3/32 -p tcp -m tcp --dport 9443 -j MASQUERADE
-A POSTROUTING -s 172.17.0.3/32 -d 172.17.0.3/32 -p tcp -m tcp --dport 9000 -j MASQUERADE
-A POSTROUTING -s 172.17.0.3/32 -d 172.17.0.3/32 -p tcp -m tcp --dport 8000 -j MASQUERADE
-A POSTROUTING -s 172.17.0.2/32 -d 172.17.0.2/32 -p tcp -m tcp --dport 6969 -j MASQUERADE
-A OUTPUT ! -d 127.0.0.0/8 -m addrtype --dst-type LOCAL -j DOCKER
-A LIBVIRT_PRT -s 192.168.122.0/24 -d 224.0.0.0/24 -j RETURN
-A LIBVIRT_PRT -s 192.168.122.0/24 -d 255.255.255.255/32 -j RETURN
-A LIBVIRT_PRT -s 192.168.122.0/24 ! -d 192.168.122.0/24 -p tcp -j MASQUERADE --to-ports 1024-65535
-A LIBVIRT_PRT -s 192.168.122.0/24 ! -d 192.168.122.0/24 -p udp -j MASQUERADE --to-ports 1024-65535
-A LIBVIRT_PRT -s 192.168.122.0/24 ! -d 192.168.122.0/24 -j MASQUERADE
-A DOCKER -i docker0 -j RETURN
-A DOCKER ! -i docker0 -p tcp -m tcp --dport 9443 -j DNAT --to-destination 172.17.0.3:9443
-A DOCKER ! -i docker0 -p tcp -m tcp --dport 9000 -j DNAT --to-destination 172.17.0.3:9000
-A DOCKER ! -i docker0 -p tcp -m tcp --dport 8000 -j DNAT --to-destination 172.17.0.3:8000
-A DOCKER ! -i docker0 -p tcp -m tcp --dport 6969 -j DNAT --to-destination 172.17.0.2:6969

@vonsy 这个感觉还要用到网络，我感觉吃不动，怕到时候出了问题都不会改

@vonsy 大佬，能帮我解释下我题目描述的这个 docker 链为什么生效不，我看第一条规则已经能匹配所有数据包了，target 又是 return ，那么后面的几条规则案例说就没意义了，但是后面这几天规则又是实现网桥功能的关键规则

@2503 这个太简单了 还没 chatgpt 懂得多

@digimoon 我用的是桥接模式，他桥接的实现就是用了 iptables 所以我想看懂 好改

@0o0O0o0O0o 没用 tproxy 就是用了 nat 表

@zedpass 这个倒是知道，透明代理已经成功了，但是 docker 服务访问不了了，在解决这个问题

@seaguest 我看了，或许可以，但是就「不透明」了，我希望是只改 iptables ，这也是我这么执着要把 iptables 搞明白的原因

@PendingOni 我的需求说白了就是把这个机器做个旁路由，只要把局域网内其他机器的网关设置为这台机器就能直接科学，然后网上找了个教程，透明代理倒是成了，但是我的 docker 服务没法访问了，然后又开始折腾。

透明代理并不是用 docker 搭建的，所以可能没法通过路由来解决，iptables 配置不太熟悉，只能看懂 78 成，但是 iptables 麻烦就麻烦在它还有个几个表还有一套调用顺序，我自己推演模拟始终觉得有问题。具体是 return 这个指令匹配规则后到底是执行下一条规则还是直接跳过链路，我的推演是只有执行下一条规则 docker 的 nat 才有可能，但是网上搜了很多东西，也大概率是不执行下面的规则，而是使用默认策略跳到下一层链路。

不理解原理就调试不了，就卡住了

差不多就是做个 nat 转换 所有流量都通过 tcp 和 udp 代理

@PendingOni 这不是路由能解决的吧 我的要求是 docker ，本机，和局域网的其他机器都能走代理

@yaott2020 没见过

rsyslog+mysql 目前实践得挺好，rsyslog 系统自带，配置简单，系统占用低