iptables网络排查记录

实现目的：本地mac能够直接通过容器IP访问部署lima虚拟机的docker容器，方便后续进行远程调试。

问题概述

故障现象

• Mac主机无法访问Lima虚拟机中的Docker容器IP 172.18.0.2

• 数据包能够到达tun0接口，但无法转发到br-b693bf906f69网桥（tun0接口是mac-docker-connector创建的网卡，用于打通主机到虚拟机的网络隔离）

• tcpdump显示数据包在tun0接口可见，但在网桥br-b693bf906f69不可见

• iptables FORWARD链规则存在但数据包计数为0

网络拓扑结构

Mac主机(192.168.251.2) → Lima虚拟机(tun0) → 网桥(br-b693bf906f69) → Docker容器(172.18.0.2)	

排查过程

1. 定位问题：网络包在tun0网卡转发br-b693bf906f69网桥中间环节有问题；

2. 进一步细化中间链路，根据iptables工作流程，该网络包对应的是转发处理，具体环节如下

   [网卡A接收包]
      ↓
   PREROUTING:
      raw 表       (关闭连接跟踪 NOTRACK)
      mangle 表    (修改TOS/TTL/Mark)
      nat 表       (DNAT)
      ↓
   路由判断 (Routing Decision)
      ↓
   FORWARD:
      mangle 表    (修改包属性)
      filter