NFTables地址伪装失效问题求助

老兄，我来帮你捋捋这个地址伪装失效的问题。先复盘下你的场景：笔记本（172.16.0.2）通过本地网络连接台式机（172.16.0.1），台式机用USB modem（enp5s0f3u1接口）上网，原本靠nftables的masquerade规则让笔记本共享网络，但现在失效了——笔记本的请求到台式机后源IP没被替换，而且modem接口抓不到流量，路由和转发你已经确认开启，那问题大概率出在nftables规则本身或者相关的网络配置细节上。

结合你的规则和现象，我整理了几个排查方向和调整建议：

1. 先确认规则是否真的加载生效 #

先执行命令 nft list ruleset，看看你定义的nat表、postrouting链是不是已经正常加载到系统里。有时候规则可能因为隐性语法问题没生效，或者加载过程没执行到位，这一步是基础。

2. 核对接口名称与网段定义 #

• 用 ip link show 确认台式机的家庭网络接口确实是 enp3s0，USB modem接口确实是 enp5s0f3u1——接口名称可能会因为设备插拔、系统重启发生变化，这是很容易忽略的点。
• 你定义的 HOME_NETWORK 是 172.16.0.0/12，这个网段覆盖172.16.0.0到172.31.255.255，虽然包含你的笔记本IP，但可以先简化规则，直接针对笔记本单个IP测试，比如把规则改成：

  ip saddr $HOME_SERVER oifname $MODEM_INTERFACE masquerade
  

  缩小匹配范围，看能不能触发伪装效果。

3. 检查规则的匹配条件是否过于严格 #

你的规则同时叠加了 iifname enp3s0、oifname $MODEM_INTERFACE 和源IP网段三个条件，如果笔记本过来的流量不是从enp3s0接口进入台式机的，这条规则就完全匹配不上。可以先去掉 iifname enp3s0 这个条件，简化规则后测试，看是否能正常伪装。

4. 给规则添加计数器，验证流量是否命中 #

修改规则加入counter统计：

table inet nat {
  chain postrouting {
    type nat hook postrouting priority 100;
    ip saddr $HOME_NETWORK iifname enp3s0 oifname $MODEM_INTERFACE counter masquerade
  }
}

重新加载规则后，让笔记本发起上网请求，再执行 nft list ruleset 查看counter的数值是否增长：

• 如果没增长：说明流量根本没触发这条规则，问题出在匹配条件上；
• 如果有增长但伪装仍失效：可能是内核参数或路由的深层问题。

5. 确认modem接口的状态与可用性 #

• 用 ip addr show enp5s0f3u1 检查这个接口是否获取到了公网IP，如果它本身没有有效IP，masquerade就无法工作，流量也不会走到这个接口，tcpdump自然没输出。
• 先确认台式机自身能不能通过modem接口上网：在台式机上ping one.one.one.one，同时用 tcpdump -i enp5s0f3u1 icmp 抓包，看是否有流量。如果台式机自己都无法上网，笔记本肯定也没法通过它共享网络。

6. 再次核对内核转发设置 #

虽然你说已经开启，但再确认一遍：

• 执行 sysctl net.ipv4.ip_forward，输出应为 net.ipv4.ip_forward = 1；
• 如果涉及IPv6，也要确认 sysctl net.ipv6.conf.all.forwarding = 1。

按照这些步骤一步步排查，应该能定位到问题根源，大概率是规则匹配条件未命中，或者modem接口本身未正常工作。

备注：内容来源于stack exchange，提问作者BlitDev