iptables中TCP连接DNAT规则变更后，已建立连接的处理疑问

场景回顾 #

1. 初始配置iptables DNAT规则，将发往前端IP的TCP流量转发至后端server1，客户端已与server1通过该规则建立稳定TCP连接。
2. 删除原DNAT规则，新增指向server2的DNAT规则，此时server1仍在运行。
3. 新的TCP连接请求会被转发到server2，但已建立的客户端与server1的连接仍能正常通信。

核心原因：iptables连接跟踪（conntrack）机制 #

iptables的NAT规则（包括DNAT）只对新连接的第一个SYN包生效。当TCP连接完成三次握手建立后，系统的conntrack模块会为这条连接生成一条持久化的跟踪条目，后续属于该连接的所有数据包，都会直接匹配这条已有条目完成地址转换，不再走新的DNAT规则链匹配。

哪怕你删除了旧的DNAT规则、添加了指向server2的新规则，只要原连接的conntrack条目还存在，数据包就会继续按照旧的转换路径（前端IP→server1）转发，直到：

• 连接两端主动发送FIN/RST包关闭连接
• conntrack条目因超时被系统自动清理

验证与手动干预方法 #

1. 查看当前跟踪的连接条目：
   执行以下命令可以看到所有被跟踪的TCP连接，包括DNAT的转换记录，能确认原连接的跟踪条目是否存在：

   conntrack -L --proto tcp
   

2. 强制中断原连接：
   如果需要立刻让原连接切换到新规则，可手动删除对应的conntrack条目（替换命令中的IP为实际值）：

   conntrack -D --proto tcp --orig-src <客户端IP> --orig-dst <前端IP> --reply-src <server1的IP> --reply-dst <客户端IP>
   

   删除后，客户端再发数据包会被当作新连接处理，匹配新的DNAT规则转发到server2。

内容的提问来源于stack exchange，提问作者Arka Sharma