[Bug] Ubuntu里挟持docker容器半失败

[GZERSAI01]

Verify steps

• 我已经在 Issue Tracker 中找过我要提出的问题 I have searched on the issue tracker for a related issue.
• 我已经使用公测版本测试过，问题依旧存在 I have tested using the test mod, and the issue still exists.
• 我已经仔细看过 常见问题 并无法自行解决问题

Description

一台Ubuntu 24.04，之前装好的crash 1.9.2b2+1.19.3，docker容器里面上网一切正常（已配置2-1-7-6）挟持启用

另一台同样是24.04，容器里用wget测试到DNS已经挟持到假的IP，但转发不正常，超时，并且主机看dashboard的日志和连接，完全不出现容器里访问的记录
crash版本是试过1.9.3，和1.9.4b4.1，都一样，我好像也无法回退到好的那台机子的1.9.2b2；内核只用过1.19.17

百思不得其解，也不确定一定是crash的原因？有什么可以排查的吗，主机的iptable看不出啥

[juewuy]

@GZERSAI01 DNS用route模式试一下

[GZERSAI01]

没有什么变化

[juewuy]

还是提供一下主机iptables相关信息吧，8-1-4

[GZERSAI01]

table inet shellcrash {
chain input {
type filter hook input priority -100; policy accept;
iif "lo" accept
ip saddr { 172.18.0.0-172.20.255.255, 192.168.2.0/24 } accept
ip6 saddr { fd00::/8, fe80::/10 } accept
tcp dport { 7890, 9999 } reject
udp dport { 7890, 9999 } reject

chain output_dns {
	type nat hook output priority dstnat; policy accept;
	udp dport != 53 return
	tcp dport != 53 return
	meta mark 0x00001ed6 return
	meta skgid { 453, 7890 } return
	ip saddr != { 127.0.0.0/8, 172.18.0.1, 172.20.0.1, 192.168.2.59 } return
	udp dport 53 redirect to :1053
	tcp dport 53 redirect to :1053

chain output {
	type nat hook output priority dstnat; policy accept;
	tcp dport 53 return
	udp dport 53 return
	meta mark 0x00001ed6 return
	meta skgid 7890 return
	tcp dport { 7890, 7892, 7893 } return
	ip daddr { 0.0.0.0/8, 10.0.0.0/8, 100.64.0.0/10, 127.0.0.0/8, 169.254.0.0/16, 172.16.0.0/12, 192.168.0.0/16, 224.0.0.0/3 } return
	meta nfproto ipv6 return
	meta l4proto tcp redirect to :7892

chain prerouting_vm_dns {
	type nat hook prerouting priority dstnat; policy accept;
	udp dport != 53 return
	tcp dport != 53 return
	meta mark 0x00001ed6 return
	meta skgid { 453, 7890 } return
	ip saddr != 172.17.0.0/16 return
	udp dport 53 redirect to :1053
	tcp dport 53 redirect to :1053

chain prerouting_vm {
	type nat hook prerouting priority dstnat; policy accept;
	ip saddr != 172.17.0.0/16 return
	tcp dport 53 return
	udp dport 53 return
	meta mark 0x00001ed6 return
	meta skgid 7890 return
	tcp dport { 7890, 7892, 7893 } return
	ip daddr { 0.0.0.0/8, 10.0.0.0/8, 100.64.0.0/10, 127.0.0.0/8, 169.254.0.0/16, 172.16.0.0/12, 192.168.0.0/16, 224.0.0.0/3 } return
	meta nfproto ipv6 return
	meta l4proto tcp redirect to :7892

[juewuy]

@GZERSAI01 确实看不出问题，使用纯净模式呢，我不确定是不是和本机代理冲突了，另外容器网段确认是172.17.0.0/16吗

[GZERSAI01]

这就神奇了呀
纯净模式是在哪里打开？
主机上没有其他代理了，docker上只有当初安装时用的image源，也不是代理
至于容器网段的话，bridge是在17网段，其他不是，应该是符合预期的

[juewuy]

@GZERSAI01 2-1

[GZERSAI01]

2-1进入的是这个，好像没看到纯净模式

[GZERSAI01]

对了，我按之前装的好的crash 1.9.2b2+1.19.3装一次，值得试一下么，会不会可能是新版本的原因

[juewuy]

我使用1.9.4beta7和开发版测试使用正常，无法复现