刚对比了一下openwrt的lsmod信息和我那个服务器的lsmod信息
的确加载的模块不一样，但是我用modprob把能加载的模块都加载上了
我那个服务器是5.12内核，内核好像没找到x_tables模块
openwrt上有x_tables模块，不知道是不是因为这个的原因呢

openwrt模块信息如下：
[root@PandoraBox_0E26:/etc/modules.d]#lsmod|grep nat
ip6_tables             11242  4 ip6table_nat,ip6table_raw,ip6table_mangle,ip6table_filter
ip6table_nat            2481  0
ip_tables              11390  4 iptable_nat,iptable_raw,iptable_mangle,iptable_filter
iptable_nat             2302  1
nf_conntrack           59244 38 shortcut_fe_cm,iptable_nat,ip6table_nat,nf_nat_pptp,nf_nat_ipv6,nf_nat_ipv4,nf_nat_amanda,nf_conntrack_pptp,nf_conntrack_ipv6,nf_conntrack_ipv4,nf_conntrack_amanda,xt_state,xt_helper,xt_conntrack,xt_connmark,xt_connlimit,xt_connbytes,xt_CT,nf_nat_tftp,nf_nat_snmp_basic,nf_nat_sip,nf_nat_irc,nf_nat_h323,nf_conntrack_tftp,nf_conntrack_snmp,nf_conntrack_sip,nf_conntrack_rtcache,nf_conntrack_proto_gre,nf_conntrack_netlink,nf_conntrack_irc,nf_conntrack_h323,nf_conntrack_broadcast,ipt_MASQUERADE,sch_esfq,act_connmark,xt_FULLCONENAT,ip6t_MASQUERADE,nf_nat
nf_conntrack_amanda     2133  1 nf_nat_amanda
nf_conntrack_h323      37049  1 nf_nat_h323
nf_conntrack_irc        3099  1 nf_nat_irc
nf_conntrack_pptp       3980  1 nf_nat_pptp
nf_conntrack_sip       19979  1 nf_nat_sip
nf_conntrack_snmp        891  1 nf_nat_snmp_basic
nf_conntrack_tftp       3009  1 nf_nat_tftp
nf_nat                 11395 17 iptable_nat,ip6table_nat,nf_nat_pptp,nf_nat_ipv6,nf_nat_ipv4,nf_nat_amanda,xt_nat,xt_REDIRECT,xt_NETMAP,nf_nat_tftp,nf_nat_sip,nf_nat_proto_gre,nf_nat_irc,nf_nat_h323,ipt_MASQUERADE,xt_FULLCONENAT,ip6t_MASQUERADE
nf_nat_amanda            936  0
nf_nat_h323             6095  0
nf_nat_ipv4             3189  1 iptable_nat
nf_nat_ipv6             3149  1 ip6table_nat
nf_nat_irc              1230  0
nf_nat_pptp             1770  0
nf_nat_proto_gre        1061  1 nf_nat_pptp
nf_nat_sip              8309  0
nf_nat_snmp_basic       7661  0
nf_nat_tftp              662  0
x_tables               14613 60 xt_u32,xt_time,xt_tcpudp,xt_tcpmss,xt_string,xt_statistic,xt_state,xt_recent,xt_nat,xt_multiport,xt_mark,xt_mac,xt_limit,xt_length,xt_iface,xt_id,xt_hl,xt_helper,xt_hashlimit,xt_ecn,xt_dscp,xt_conntrack,xt_connmark,xt_connlimit,xt_connbytes,xt_comment,xt_TCPMSS,xt_REDIRECT,xt_NETMAP,xt_LOG,xt_IPMARK,xt_HL,xt_DSCP,xt_CT,xt_CLASSIFY,xt_ACCOUNT,iptable_raw,iptable_mangle,iptable_filter,ipt_REJECT,ipt_MASQUERADE,ipt_ECN,ip_tables,act_ipt,xt_FULLCONENAT,xt_set,ip6t_NPT,ip6t_MASQUERADE,ip6t_rt,ip6t_frag,ip6t_hbh,ip6t_eui64,ip6t_mh,ip6t_ah,ip6t_ipv6header,ip6t_REJECT,ip6table_raw,ip6table_mangle,ip6table_filter,ip6_tables
xt_nat                  1433  0


B服务器的模块信息如下：
[root@leeyc31 ~]# lsmod|grep nat
nf_nat_tftp            16384  0
nf_conntrack_tftp      20480  1 nf_nat_tftp
nf_nat_irc             20480  0
nf_conntrack_irc       20480  1 nf_nat_irc
nf_nat_ftp             20480  0
nf_conntrack_ftp       24576  1 nf_nat_ftp
nf_nat_amanda          16384  0
nf_conntrack_amanda    16384  1 nf_nat_amanda
nf_nat_sip             20480  0
nf_conntrack_sip       40960  1 nf_nat_sip
ip6table_nat           16384  1
ip6_tables             32768  4 ip6table_filter,ip6table_raw,ip6table_nat,ip6table_mangle
xt_nat                 16384  8
iptable_nat            16384  1
nf_nat                 45056  9 nf_nat_irc,ip6table_nat,nf_nat_ftp,xt_nat,nf_nat_tftp,nf_nat_amanda,iptable_nat,xt_MASQUERADE,nf_nat_sip
nf_conntrack          155648  16 xt_conntrack,nf_nat_irc,nf_nat,nf_conntrack_tftp,nf_nat_ftp,xt_nat,nf_nat_tftp,nf_nat_amanda,nf_conntrack_sip,nf_conntrack_irc,nf_conntrack_amanda,nf_conntrack_netlink,xt_connmark,nf_conntrack_ftp,xt_MASQUERADE,nf_nat_sip
libcrc32c              16384  3 nf_conntrack,nf_nat,xfs
ip_tables              28672  2 iptable_filter,iptable_nat



【 在 lvsoft 的大作中提到: 】
: 他说的对，我记得sip是有mod的。
: 你看看有没有nf_conntrack_sip这个模块。
: 此外可以先用netcat测试下udp通不通
: ...................
--
FROM 202.98.17.*

我遇到了跟你一样的问题了，邪门...

路由是新装的armbian，内核5.17，直接用nftables，做了个最最最简单的masquerade，
其他啥都检查过了，不会有弱智问题。
理论上应该就正常了，实际上好像也确实正常了，
但访问很多网站感觉都被盾了似得...我这里说的都是国内网站...

比如这个


访问ustc的debian mirror不行，http和https测试过都不行。
淘宝完全不行
jd是部分可以，很明显一些cdn不行。
qq邮箱看似可以，但丫与安全认证相关的cdn部分不行。
百度，bing都可以，我自建的服务器也ok。



然后是重点测试的从ustc的debian mirror里面wget一个包，现象就如图所示，到传数据的时候卡住了。
但ssh自己的几个服务器却都没问题。

然后抓包分析了一下子，过程如图所示，感觉就是http要传payload的时候被黑洞了...
而且https情况也类似。





最后，完全一样的网络环境，换华为的ap就没问题，我这个小路由器换openwrt的系统也没问题，但如果我要用armbian就是不行...我也换了几个不同版本的内核测试了下，没啥区别。但我没换老一点的内核直接测试iptables的情况。
这尼玛是啥情况啊...无法理解...
感觉像是masquerade被isp检测到然后咔嚓了。也许openwrt有更好的masquerade姿势？？？


【 在 leeyc 的大作中提到: 】
: tcp的协议貌似都正常，没啥问题
: 但是，udp的好像有问题
: 用conntrack -L查看的结果如下
: ...................
--
FROM 114.222.222.*

你这个情况可能还是sip支持的问题。
现在新的linux默认都走nftables
然后iptables的命令行都是nftables的wrapper。
并且某个版本之后iptables和nftables的内核模块还是可以共存的。
所以你这个问题还有个可能就是走的nftables，只是你不知道，一直在折腾iptables，方向错误。

此外我也搜到在相对比较早的版本里面nftables确实有一些奇奇怪怪的bug。
但我尼玛都升到5.17了不应该连个masquerade都有问题。

我感觉这个问题更像是masquerade被检测出来了。然后openwrt可能有更好的伪装实现，大概率nftables应该也支持。你的问题可能跟我这个也一样，殊途同归，我们都是回来的数据包不见了，不知道是没回来还是那里被拦截了。
但我对这些就不是很熟悉了，得去深钻openwrt针对各种网络问题到底做了些什么。理论上对比两者的包应该能找到线索，但我现在还没wireshark，人肉decode虽然不是不可以...但还是算了吧...我需要有网才能装wireshark，现在的tcpdump是因为依赖包少，我一个个deb倒过去的，wireshark还是得先把网打通才行...然后openwrt被我刷没了，华为ap被我丢垃圾桶了...tmd谁知道会遇到个这么个问题...


【 在 leeyc 的大作中提到: 】
: 或许内核的iptables模块加载的不全
: 我把我那个openwrt上的iptables模块跟我的这个服务器上的iptables模块对比了下
: 的确不太一样。
: ...................
--
修改:lvsoft FROM 114.222.222.*
FROM 114.222.222.*

那我严重怀疑你的问题跟我的问题是同一个问题。我准备降个版本，找个老点的内核测试下。

【 在 leeyc 的大作中提到: 】
: 我有两个服务器，一个是centos7，5.12内核，这个天然就是iptables，根本也也没有nftables
: 另外一个是rockylinux8.5，内核5.15，这个默认是nftables，但是，我把nft禁了，自己安装的iptables
: 但是，这俩服务器表现的好像是一样的症状。
: ...................
--
FROM 114.222.222.*

你这访问国内网站的masq包应该没人有空来检测吧


【 在 lvsoft 的大作中提到: 】
: 你这个情况可能还是sip支持的问题。
: 现在新的linux默认都走nftables
: 然后iptables的命令行都是nftables的wrapper。
: ...................
--
修改:RuralHunter FROM 58.37.82.*
FROM 58.37.82.*