如何将所有入站连接数据包传入NFQUEUE及iptables规则配置咨询

要实现你需求的iptables规则配置，我会分两部分来设置：将所有入站数据包发送到NFQUEUE，以及配置TCP端口重定向来完成握手。以下是具体步骤和解释：

1. 配置NFQUEUE规则（捕获所有入站数据包） #

你需要把所有目标为本机的入站数据包（无论连接状态是NEW、ESTABLISHED还是RELATED）都发送到NFQUEUE，供你的应用程序处理。直接在filter表的INPUT链添加规则即可，因为INPUT链专门处理目标为本机的流量：

# 将所有TCP入站数据包发送到NFQUEUE队列0（可根据你的应用调整队列号）
iptables -A INPUT -p tcp -j NFQUEUE --queue-num 0

# 如果需要处理UDP等其他协议的入站数据包，添加对应规则
iptables -A INPUT -p udp -j NFQUEUE --queue-num 0

这样配置后，所有进入本机的TCP/UDP数据包，不管是新连接还是已建立连接的后续数据包，都会被转发到你的NFQUEUE应用程序。

2. 配置TCP端口重定向（完成握手） #

你提到的PREROUTING规则可以调整得更简洁（单个端口无需multiport匹配），它的作用是把除了64646端口之外的所有入站TCP流量重定向到1234端口，确保TCP握手能正常完成：

iptables -A PREROUTING -t nat -p tcp ! --dport 64646 -j REDIRECT --to-ports 1234

关键说明： #

• ! --dport 64646表示排除目标端口为64646的TCP数据包，这些包会直接到达原端口，不会被重定向。
• 这条规则放在nat表的PREROUTING链，会在路由判断前生效，确保流量被正确重定向到1234端口。

额外注意事项 #

• 确保你的NFQUEUE应用程序监听的队列号和iptables规则中指定的--queue-num一致，并且应用需要以root权限运行才能访问NFQUEUE。
• 如果你需要永久保存这些规则，避免重启后丢失，可以使用iptables-save命令：

  # Debian/Ubuntu系统示例
  iptables-save > /etc/iptables/rules.v4
  

• 如果后续需要调整规则，记得先使用iptables -D删除旧规则，再添加新规则，避免规则冲突。

内容的提问来源于stack exchange，提问作者vx3r