iptables配置未知MAC客户端HTTP请求重定向失效问题排查求助

看起来你遇到的问题核心是iptables规则顺序和错误的DROP动作直接拦截了需要转发的请求包，我帮你拆解下问题点和排查修复步骤：

首先分析当前规则的致命问题 #

1. 错误的DROP规则拦截了目标请求
   你在filter表FORWARD链中添加了这条规则：

iptables -t filter -A FORWARD -m mark --mark 99 -j DROP

这条规则会直接丢弃所有标记为99的包——而这些包正是你要做DNAT转发的内网HTTP请求（80端口），请求根本到不了192.168.0.30，浏览器自然会超时。

2. 规则顺序与MAC白名单的双重限制
   你的FORWARD链默认策略是DROP，且规则顺序是：

• 先匹配白名单MAC的ACCEPT
• 然后匹配标记99的DROP
• 最后匹配ESTABLISHED,RELATED的ACCEPT

测试客户端的MAC（AA:AA:AA:AA:AA:AA）不在你定义的MACS数组里，所以白名单规则不会放行它的包，包会继续走到DROP规则被直接丢弃，连后续的DNAT和状态匹配规则都碰不到。

修复与排查步骤 #

• 1. 先移除致命的DROP规则
  执行这条命令删掉拦截请求的规则：

iptables -t filter -D FORWARD -m mark --mark 99 -j DROP

如果你的初衷是对这些标记的包做其他控制（比如限速），请替换成ACCEPT或其他合适的动作，不要用DROP。

• 2. 确保转发请求能被允许
  添加一条规则允许标记99的包通过FORWARD链，建议用-I把它插入到现有规则的前面（避免被其他规则拦截）：

iptables -t filter -I FORWARD -m mark --mark 99 -j ACCEPT

• 3. 处理MAC白名单限制（可选，测试用）
  如果测试客户端的MAC不在白名单里，要么把它添加到MACS数组中重新加载规则，要么临时添加一条允许该MAC的规则来测试：

iptables -A FORWARD -m mac --mac-source AA:AA:AA:AA:AA:AA -j ACCEPT

毕竟你的默认FORWARD策略是DROP，只有白名单内的MAC才能正常转发流量。

• 4. 验证DNAT是否生效
  在目标服务器192.168.0.30上执行tcpdump抓包，确认是否能收到测试客户端的请求：

tcpdump -i eth0 host 192.168.0.134 and port 80

• 如果能抓到包：说明iptables转发正常，问题可能出在目标服务器的HTTP服务配置（比如端口未开放、服务未启动）

• 如果抓不到：回到网关检查iptables规则，确认标记和DNAT规则是否正确匹配

• 5. 确认返回包路径
  检查FORWARD链的ESTABLISHED,RELATED规则是否在处理返回包：

iptables -L FORWARD -v -n

查看规则的计数是否有增长，如果有，说明返回包正在被正常放行。

备注：内容来源于stack exchange，提问作者Cor Cool