如何在 hp 的防火墙接管流量之前做 NAT

[VergilGao]

IP4=$(ip -4 addr show br-lan | grep global | awk '{print $2}' | awk -F / '{print $1}')
IP6=$(ip -6 addr show br-lan | grep link | awk '{print $2}' | awk -F / '{print $1}')

if nft list tables | grep -q 'inet user'; then
    nft delete table inet user
fi

nft add table inet user
nft add chain inet user prerouting { type nat hook prerouting priority -151 \; }
nft add chain inet user hijack_lan
nft add rule inet user prerouting iifname { "wg0", "br-lan" } jump hijack_lan

nft add rule inet user hijack_lan ip daddr != $IP4 udp dport 123 counter dnat to $IP4
nft add rule inet user hijack_lan ip6 daddr != $IP6 udp dport 123 counter dnat to [$IP6]

nft add rule inet user hijack_lan ip daddr != $IP4 tcp dport 53 counter dnat to $IP4
nft add rule inet user hijack_lan ip daddr != $IP4 udp dport 53 counter dnat to $IP4
nft add rule inet user hijack_lan ip6 daddr != $IP6 tcp dport 53 counter dnat to [$IP6]
nft add rule inet user hijack_lan ip6 daddr != $IP6 udp dport 53 counter dnat to [$IP6]

我看 hp 的入口链的优先级是 mangle 理论上我这个劫持 DNS 请求应该能在 hp 之前生效的，结果并没有，关了 hp 之后就生效了。
测试方案是 nslookup 一个 dnsmasq 的自定义地址，address=/www.example.com/192.168.1.1
结果
nslookup www.example.com 192.168.1.1 正常返回 192.168.1.1， nslookup www.example.com 114.114.114.114 返回了外网地址。

[1715173329]

nft add table inet dnsmasq
nft add chain inet dnsmasq prerouting "{ type nat hook prerouting priority -105; policy accept; }"
nft add rule inet dnsmasq prerouting "meta nfproto { ipv4, ipv6 } udp dport 53 counter redirect to :53 comment \"DNSMASQ HIJACK\""

[VergilGao]

测试后还是一样的，关闭 hp 之后才会生效，开启 hp 后仍然会返回正常的地址。

[VergilGao]

大概找到问题在哪了

ip rule add fwmark "$tproxy_mark" table "$table_mark"
ip route add local 0.0.0.0/0 dev lo table "$table_mark" 

流量直接被标记所以没有走我新建的表

[1715173329]

是 114 DNS 被直接代理了，不知何故没有在 hp 当前用的 chinaip 表中。

[VergilGao]

是 114 DNS 被直接代理了，不知何故没有在 hp 当前用的 chinaip 表中。

确实，我试了瞎编了一个 114.114.0.0/16 内的 IP 去 nslookup 都被成功劫持了，但是 114.114.114.114 不行

[1715173329]

优化了下这部分，应该不会被代理抢走了。