OpenWrt环境下先执行Filter表规则再转发UDP包至TPROXY的实现方案咨询

嗨，你的思路其实是可行的，核心就是让UDP数据包先走完Filter表的规则，再重新回到Prerouting链交给TPROXY处理。结合OpenWrt的环境，我给你整理了一套具体的实现步骤，你可以参考着来配置：

1. 先标记目标UDP流量，让它绕过TPROXY进入Filter表 #

首先在Mangle表的Prerouting链，给需要走TPROXY的UDP流量（比如指定目的IP段/端口）打上连接标记，同时关闭连接跟踪避免干扰，让数据包先进入Filter的Forward链处理：

# 标记需要后续处理的UDP流量（这里示例是目的段192.168.1.0/24的53端口流量）
iptables -t mangle -A PREROUTING -p udp -d 192.168.1.0/24 --dport 53 -j CONNMARK --set-mark 0x1
# 关闭连接跟踪，避免数据包被直接转发跳过后续流程
iptables -t mangle -A PREROUTING -p udp -d 192.168.1.0/24 --dport 53 -j NOTRACK
# 放行数据包到Forward链，让Filter表规则先执行
iptables -t mangle -A PREROUTING -p udp -d 192.168.1.0/24 --dport 53 -j ACCEPT

2. 配置Filter表的自定义规则 #

这一步就是你原本在Luci里设置的规则（比如按目的IP丢包），这些规则会自动处理所有进入Forward链的数据包，包括我们刚才标记的UDP流量：

# 示例：丢弃目的IP为10.0.0.5的UDP数据包
iptables -t filter -A FORWARD -p udp -d 10.0.0.5 -j DROP

3. 处理Filter后的流量，标记并重定向回Prerouting #

首先添加路由规则，让带有特定标记的数据包重新路由回本地（再次进入Prerouting链）：

# 添加自定义路由表100，让标记0x2的包走本地回环
ip rule add fwmark 0x2 table 100
ip route add local 0.0.0.0/0 dev lo table 100

然后在Mangle表的Postrouting链，匹配之前标记的UDP流量，给它打上路由标记和新的DSCP标记，触发重定向：

# 给经过Filter处理的目标UDP流量打路由标记0x2
iptables -t mangle -A POSTROUTING -p udp -m connmark --mark 0x1 -j MARK --set-mark 0x2
# 同时设置新的DSCP标记（cs2），方便后续TPROXY匹配
iptables -t mangle -A POSTROUTING -p udp -m connmark --mark 0x1 -j DSCP --set-dscp cs2

4. 匹配新DSCP标记，转发至TPROXY #

最后在Mangle表的Prerouting链，匹配带有cs2 DSCP标记的UDP流量，转发到你的TPROXY服务：

# 将符合条件的UDP包转发到TPROXY的监听端口（示例为1080）
iptables -t mangle -A PREROUTING -p udp -m dscp --dscp cs2 -j TPROXY --on-port 1080 --tproxy-mark 0x3/0x3

注意事项 #

• 确保OpenWrt已经安装了iptables-mod-tproxy和iproute2包，TPROXY需要依赖这些组件；
• 可以根据你的实际需求调整IP段、端口、标记值（0x1/0x2/0x3）和DSCP标记；
• 测试时可以用iptables-save查看规则是否生效，用tcpdump跟踪数据包的流向。

备注：内容来源于stack exchange，提问作者Chris