路由器自定义了NTP的劫持，内核日志一直在报错

[VergilGao]

table inet ntp {
        chain prerouting {
                type nat hook prerouting priority dstnat - 5; policy accept;
                udp dport 123 counter packets 65147 bytes 4962037 dnat ip to 192.168.16.1 comment "NTP HIJACK"
                udp dport 123 counter packets 766 bytes 73536 dnat ip6 to fe80::1 comment "NTP HIJACK"
        }
}

[VergilGao]

这是我的劫持脚本：

#!/bin/sh

# 劫持内网的所有 ntp 查询

LAN=br-lan
IP4=$(ip -4 addr show $LAN | grep global | awk '{print $2}' | awk -F / '{print $1}')
IP6=$(ip -6 addr show $LAN | grep link | awk '{print $2}' | awk -F / '{print $1}')

nft delete table inet ntp 2>/dev/null
nft add table inet ntp

# 在 'ntp' 表中创建 'prerouting' 规则链
# 作用：在数据包进入防火墙时执行 NAT 规则
# 类型：NAT
# 挂载点：prerouting（数据包进入时）
# 优先级：dstnat - 5（确保 NAT 规则正确处理）
# 默认策略：accept（允许所有匹配的数据包）
nft add chain inet ntp prerouting { type nat hook prerouting priority dstnat \- 5 \; policy accept \; }

# 添加 NAT 规则，劫持所有 UDP 端口 123（NTP）的流量
# 作用：将所有来自局域网的 NTP 请求重定向到本机
# 为什么用 DNAT 而不是 redirect？
# - **Redirect 仅适用于本地处理的流量**（例如 dnsmasq 劫持），它不能跨设备转发。
# - **DNAT 适用于整个网络**，可以将所有客户端的 NTP 请求真正转发到你的路由器，而不是仅仅修改端口。
# - **NTP 需要完整的状态信息**（如 Stratum），使用 redirect 可能导致客户端无法正确同步时间。
# - **Redirect 不能修改目标 IP**，而 DNAT 允许你将流量重定向到特定的 NTP 服务器。
nft add rule inet ntp prerouting udp dport 123 counter dnat ip to $IP4 comment \"NTP HIJACK\"
nft add rule inet ntp prerouting udp dport 123 counter dnat ip6 to $IP6 comment \"NTP HIJACK\"

在停止 nikki 以后，这个脚本就能正常生效：

ntpdate -q 123.123.123.123
server 123.123.123.123, stratum 3, offset +0.005421, delay 0.02588
13 Dec 13:49:57 ntpdate[2450620]: adjust time server 123.123.123.123 offset +0.005421 sec

然而开启 nikki 以后：

ntpdate -q 123.123.123.123
13 Dec 13:49:08 ntpdate[2449073]: no server suitable for synchronization found

[VergilGao]

解决了：将要代理的 UDP 目标端口改成 443 8443