linux – 使用带有NAT的iptables标记数据包

为此,我使用iptables将从受限域传入的数据包标记为专用网络中的用户IP地址.对于每对夫妇user_ip / domain_ip,我有一个密钥,我可以用它来标记数据包.

我在mangle表中添加这些规则,如下所示：

$iptables -t mangle -A PREROUTING -p tcp -d $userIp -s $restrictedDom -j MARK --set-mark $id 
$iptables -t mangle -A PREROUTING -p tcp -d $userIp -s $restrictedDom -j RETURN

nat表中的NAT设置(eth0是我的互联网接口,我使用tap0作为Lan接口)是

$iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE

我的Lan用户的数据包应该与mangle表中的规则匹配,但不能捕获.

示例:( PREROUTING CHAIN中的表格mangle)
例如,这用于标记来自slashdot.org的用于Lan网络中的??用户192.168.0.2的分组.

Chain PREROUTING (policy ACCEPT 14858 packets,7215129 bytes)
pkts      bytes target     prot opt in     out     source               destination      
 0        0 MARK       tcp  --  *      *       216.34.181.45        192.168.0.2         MARK xset 0x9/0xffffffff 
 0        0 RETURN     tcp  --  *      *       216.34.181.45        192.168.0.2

但是,如果我尝试在路由器的互联网接口上标记来自slashdot.org的数据包,则会捕获数据包,如果Lan中的计算机也会查询slashdot.org,则同样的规则也会标记它们.

所以我认为由于NAT转换存在问题,我不确切知道何时以及以何种顺序应用规则.

第一次,我的NAT设置在iptables中是好还是不完整？
我是否错过了关于规则或iptables概念的重要事项？

提前致谢.