windows下可用netsh interface ipv4 set global defaultcurhoplimit=值命令无需重启即时修改ttl，默认128，推荐设为64，执行后立即生效并可通过netsh interface ipv4 show global验证。
必须用 mangle 表，其他表无效
filter 表只能决定放行或丢弃，nat 表只改源/目的地址和端口，它们都不能触碰 IP 包头里的 TTL 字段。只有 mangle 表支持 TTL 扩展模块（TTL target），且该模块在 filter 或 nat 表中加载会报错：iptables: No chain/target/match by that name。所以命令里 -t mangle 不能省，漏写就等于没配。
选对链：PREROUTING 还是 OUTPUT？
取决于本机在网络中的角色：
- 如果你的 Linux 主机是网关或路由器（流量经它转发），应在 PREROUTING 链 上操作。这样进入的数据包在路由决策前 TTL 就被增加，外部 traceroute 看到的跳数变少，中间设备被“抹平”。
- 如果你的主机是对外提供服务的服务器（比如 Web 服务器），响应包从本机发出，必须在 OUTPUT 链 上增加 TTL，否则回程路径仍暴露原始跳数。
- 不要在 INPUT 或 FORWARD 链改 TTL：INPUT 时包已抵达本机，修改不影响 traceroute；FORWARD 中修改太晚，TTL 可能在路由检查阶段就被判为 0 而丢弃。
匹配条件要宽松，别用 --ttl-eq
不同系统初始 TTL 不同：Linux 通常是 64，Windows 是 128，BSD 可达 255。若写 --ttl-eq 64，来自 Windows 的请求就完全匹配不上。推荐用：
-
--ttl-gt 1：覆盖绝大多数正常流量（TTL 至少为 2 才可能到达你） - 避免精确匹配，增强鲁棒性
典型命令示例（增加 4 跳）：
iptables -t mangle -A PREROUTING -m ttl --ttl-gt 1 -j TTL --ttl-inc 4iptables -t mangle -A OUTPUT -m ttl --ttl-gt 1 -j TTL --ttl-inc 4
验证和持久化不能少
光看 iptables -t mangle -vnL 计数器递增不等于生效。要实测：
- 从外网执行
traceroute -n 目标IP，观察跳数是否明显减少或出现“跳空” - 在本机抓包：
tcpdump -i any 'icmp[icmptype] == icmp-echoreply' -nn -c 2，检查 echo reply 的 TTL 是否已增加 - 规则重启后失效，需保存：Debian/Ubuntu 用
iptables-save > /etc/iptables/rules.v4；CentOS 7 用service iptables save或netfilter-persistent save
