iptablesがテーブルキャプチャパケットをマングリングしないのはなぜですか？

Question

まず、質問のコメントで答えたように、-iはパケットがインターフェイスで受信されたことを意味するため、2番目のルールは適用されませんenp3s0。したがって、プロキシから発信されるすべてのパケットを表示するには、最初のルールで十分です。着信パケットに対して同じ操作を実行するには、以下を追加する必要があります。

iptables -t mangle -A FORWARD -i enp3s0 -d 172.18.0.0/16 -j MARK --set-mark 1

これで、着信および発信するすべてのパケットにbr-43cb854b8af8タグが付けられ（ブラウザからプロキシに送信されるパケット）、これは時間ごとに設定されたパスです。

最初のコマンドセットは次のとおりです。

ip rule add to 172.18.0.0/16 pref 100 table 1
ip rule add fwmark 0x0001 pref 101 table 1
ip route add table 1 to 172.18.0.0/16 dev br-43cb854b8af8

ブラウザからの着信トラフィックとプロキシからDockerネットワークへの直接着信トラフィックを許可します。 VPNが独自のルールも設定し、上記のルールがパケットに適用されない場合にのみこれらのルールを確認しようとするため、prefオプションが使用されます。

2番目のコマンドセットは次のとおりです。

ip rule add fwmark 0x0001 pref 102 table main

パケットにタグが付けられていてDockerのネットワークに行かない場合（つまり、Dockerのネットワークから出るという意味）、VPNルールをバイパスし、VPNが不要な標準パスに移動するように設定します。

最終スクリプト

#!/bin/sh

iptables -t mangle -A PREROUTING -i br-43cb854b8af8 -j MARK --set-mark 1
iptables -t mangle -A FORWARD -i enp3s0 -d 172.18.0.0/16 -j MARK --set-mark 1

ip rule add to 172.18.0.0/16 pref 100 table 1
ip rule add fwmark 0x0001 pref 101 table 1
ip route add table 1 to 172.18.0.0/16 dev br-43cb854b8af8

ip rule add fwmark 0x0001 pref 102 table main

ip route flush cache

Answer 1