[问题求助]nat 只匹配连接的第一个包吗？ [复制链接]

看到前面帖子中的“PREROUTI..NG链只会匹配流的第一个包，也就是说，这个流的所有其他的包都不会被此链检查。”服务器
我通过ping命令测试，我用iptables -t. nat -nvL查看匹配到nat规则的包是一值再增加.的啊？为什么啊？--- 印刷

ping 在 conntrack 中，自动快速建立和消亡，每次 ping 一个来回，算一次 new connection

都是新的连接在建立

conntrack-->nat-->mangle,是不是说对于conntack表中已有的连接，数据包是不再匹配prerouting/postrouting的nat表中的规则？mangle表会继续匹配吧？

QUOTE:原帖由 wangxiaoguang 于 2009-3-25 09:19 发表
conntrack-->nat-->mangle,是不是说对于conntack表中已有的连接，数据包是不再匹配prerouting/postrouting的nat表中的规则？mangle表会继续匹配吧？

顺序错了
应该是 conntrack -> mangle -> nat
mangle、nat、filter 的入口点各不相同，要完成的工作也不同，没有可比性的