如何将发往指定IP的ICMP回显请求路由到本地tap接口供进程处理？

我明白你现在的困境：明明DNAT规则有命中，但数据包还是被系统直接回复了，没到你的tap0进程手里。核心问题在于目标是本机IP的数据包默认会走INPUT链被系统处理，而不是进入FORWARD链转发出去，咱们一步步解决这个问题：

第一步：开启本地地址转发允许 #

Linux默认不允许把目标是本机IP的数据包转发到其他接口，咱们需要修改sysctl参数打开这个开关：

# 临时生效
sysctl -w net.ipv4.conf.all.route_localnet=1

# 永久生效（重启后依然有效），编辑/etc/sysctl.conf并添加配置，再刷新生效
echo "net.ipv4.conf.all.route_localnet=1" >> /etc/sysctl.conf
sysctl -p

第二步：配置精准的iptables规则 #

你之前的规则太宽泛，咱们改成只匹配你需要的流量（enp4s0进来、目标192.168.1.90的ICMP回显请求），先清理旧规则再添加新规则：

# 删除之前的泛DNAT规则（如果还存在的话）
iptables -t nat -D PREROUTING -p icmp -j DNAT --to-destination 128.1.3.2

# 添加精准匹配的DNAT规则
iptables -t nat -A PREROUTING -i enp4s0 -d 192.168.1.90 -p icmp --icmp-type echo-request -j DNAT --to-destination 128.1.3.2

第三步：确保FORWARD链允许流量 #

虽然你说默认FORWARD策略是ACCEPT，但为了更稳妥，咱们明确添加允许双向ICMP流量的规则：

# 允许从enp4s0到tap0的ICMP请求
iptables -A FORWARD -i enp4s0 -o tap0 -d 128.1.3.2 -p icmp --icmp-type echo-request -j ACCEPT

# 允许从tap0到enp4s0的ICMP回复
iptables -A FORWARD -i tap0 -o enp4s0 -s 128.1.3.2 -p icmp --icmp-type echo-reply -j ACCEPT

第四步：确认tap0路由状态 #

你之前的路由表显示tap0有linkdown标记，可能是接口状态异常导致的，咱们刷新一下tap0状态：

ip link set tap0 down && ip link set tap0 up

# 再次查看路由表，确认128.1.3.0/24的路由正常关联tap0
ip r

验证效果 #

现在用外部设备发送ICMP请求到192.168.1.90，同时在本地监听tap0的流量：

tcpdump -i tap0 icmp

如果一切正常，你应该能看到ICMP回显请求到达tap0，你的进程处理后会回复回显应答，最终这个应答会通过enp4s0返回给外部设备。

可能的排查点 #

如果还是不行，检查这几个地方：

• 确认ip_forward确实是1：cat /proc/sys/net/ipv4/ip_forward
• 查看nat规则的命中计数：iptables -t nat -L PREROUTING -vnx，看数据包是否被正确匹配
• 查看FORWARD链的数据包计数：iptables -L FORWARD -vnx，确认流量确实进入了转发流程

备注：内容来源于stack exchange，提问作者hudac