iptables的mark目标是为数据包设置内核可识别的整数标记，作为netfilter与tc、策略路由、conntrack协同工作的桥梁；需在mangle表中打标，配合tc实现qos、策略路由实现引流，并用connmark保障连接双向一致性。
iptables 的 MARK 目标不是直接改变数据包内容，而是给数据包打上一个内核可识别的整数标记（通常为 32 位），供后续模块（如 tc、ip rule、conntrack）识别和决策。它本身不实现 QoS 或引流，但它是连接 netfilter（防火墙）与内核流量控制（QoS）及策略路由（安全引流）的关键桥梁。
用 MARK 配合 tc 实现分层 QoS
tc（traffic control）无法直接读取 iptables 规则，但能识别数据包的 skb->mark 字段。通过 MARK 打标 + tc class/queue/filter，就能按业务类型差异化限速或调度：
- 先在 mangle 表中打标：例如给 SSH 流量标为 1，VoIP 标为 2，下载标为 3
- 注意：必须在 OUTPUT 或 PREROUTING 链打标，且确保该链未被跳过（如无 RETURN 或 ACCEPT 提前终止）
- 在 tc qdisc 中创建多个 class，并用
u32或fw分类器匹配 mark 值：例如tc filter add dev eth0 parent 1: protocol ip u32 match ip mark 0x1 0xffffffff flowid 1:10 - 不同 class 可绑定不同速率（htb）、队列（fq_codel）或优先级（prio）
用 MARK + 策略路由实现安全引流
当需将特定流量（如来自某 IP 段的 HTTPS 请求）强制走独立网关或代理链路时，MARK 是触发策略路由的第一步：
- 在 mangle 表 PREROUTING 链中标记目标流量，例如：
iptables -t mangle -A PREROUTING -s 192.168.5.0/24 -p tcp --dport 443 -j MARK --set-mark 0x100 - 创建新路由表（如 table 100），配置其默认网关指向审计网关：
echo "100 auditgw" >> /etc/iproute2/rt_tables；ip route add default via 10.0.100.1 dev eth1 table auditgw - 添加策略规则：将 mark=0x100 的包导向该表：
ip rule add fwmark 0x100 table auditgw - 关键点：策略路由只对本地生成或转发的包生效；若需处理本机出向流量，应在 OUTPUT 链打标并加对应 rule
MARK 与 connmark 协同保障连接一致性
单向打标会导致回程包不匹配，破坏 QoS 或引流效果。对有状态连接（如 TCP），应结合 CONNMARK 保存/恢复标记：
- 首次进入连接时打标并保存到 conntrack：
iptables -t mangle -A PREROUTING -p tcp --dport 80 -j MARK --set-mark 0x200iptables -t mangle -A PREROUTING -m connmark ! --ctmark 0x200 -j CONNMARK --save-mark - 后续包（包括回程）恢复标记：
iptables -t mangle -A PREROUTING -m connmark --ctmark 0x200 -j CONNMARK --restore-mark - 这样整个连接双向流量都携带相同 mark，tc 和策略路由可全程一致处理
常见陷阱与验证方法
MARK 容易因链位置、表选择或内核模块缺失而失效：
- 确保使用
-t mangle：MARK 只在 mangle 表可用；其他表（filter/nat）不支持 - 检查是否启用必要内核选项：
CONFIG_NETFILTER_XT_TARGET_MARK、CONFIG_IP_ADVANCED_ROUTER、CONFIG_NET_SCHED - 用
tcpdump -n -i any 'ip[12] & 0xf != 0'无法看到 mark（mark 不在 IP 头中）；应改用iptables -t mangle -L -v -n查计数，或用tc -s class show dev eth0观察分类命中情况 - 测试策略路由是否生效：用
ip route get 8.8.8.8 mark 0x100查看实际查哪张表
