nftables跳转机制及DOCKER-USER链工作原理的疑问

嘿，我来帮你理清这个逻辑——你对nftables跳转的理解差了关键一步，咱们一步步拆解：

首先，你得明确nftables里跳转（jump）和动作终结的关系：当你从一个链jump到另一个链时，并不是不管怎样都会回到原链的。如果在目标链里触发了accept、drop这类终结性动作，整个数据包的处理流程就直接结束了，不会再回到原链继续执行后续规则；只有当目标链里所有规则都没匹配，最后走到return动作时，才会回到原链中jump指令的下一条规则继续处理。

回到你的场景看：

1. FORWARD链的默认策略是drop，但它的第一条规则就是jump DOCKER-USER，所以所有进入FORWARD的数据包都会先进入DOCKER-USER链处理。
2. 你在DOCKER-USER链里加的第一条规则是iifname "pub_br0" oifname "pub_br0" counter packets 15050 bytes 1456483 accept——当符合这个条件的数据包进入DOCKER-USER链时，直接触发了accept动作，这个数据包的处理流程就到此为止了，根本不会回到FORWARD链，自然也就不会触发FORWARD的默认drop策略。

你之前的误解是以为jump之后一定会回到原链，但实际上只有当跳转的链里没有终结动作（比如走到了return），才会返回原链继续。现在你的数据包在DOCKER-USER里就被accept了，流程直接终止，所以不会被FORWARD的drop影响。

另外补充一下Docker设置DOCKER-USER链的初衷：就是给用户留一个自定义规则的入口，让你不用修改Docker自动生成的FORWARD链规则，直接在DOCKER-USER里加自己的放行/拦截规则，因为它是FORWARD链里第一个被跳转的链，优先级最高，你的规则会先被执行。

备注：内容来源于stack exchange，提问作者Mitya