必须用connmark而非仅mark，因为mark只作用于单包，无法保障tcp/udp连接双向流量标记一致；connmark通过--save-mark将标记存入conntrack连接条目，并用--restore-mark在回程及output包中恢复标记，确保策略路由全程生效。
要让多ISP线路真正按连接粒度稳定分流，关键不是给每个包打标，而是把标记“绑到整条连接上”——CONNMARK 就是干这个的。只用 MARK 会丢掉回程流量，策略路由立马失效。
为什么必须用 CONNMARK 而不只是 MARK
MARK 只作用于当前数据包，TCP/UDP 连接有请求和响应两个方向。如果只在 PREROUTING 链对入向包打标：
- 服务器返回的 SYN-ACK、HTTP 响应等回程包不带标，走默认路由，可能从另一条 ISP 出去
- 状态检测设备（如防火墙、审计网关）收不到完整会话，直接丢包或告警
- 策略路由规则查不到 fwmark，分流完全断裂
三步完成连接级标记同步
所有操作都在 mangle 表中进行，核心是利用内核 conntrack 模块维护连接状态：
Skill Weave Chains — 技能链路由引擎
下载
开箱即用的技能链路由引擎。13 条预定义链覆盖搜索、开发、审查、MLOps、法律、创意等场景，三层路由架构（触发词→SAD反馈→DAG编排），recall@10=96.97%。配置驱动（chains.yaml），零代码扩展。pip install skill-weave-chains 一键安装。
- 首次入包打标并存入连接：匹配流量后先 MARK，再用 CONNMARK --save-mark 把包标记写进该连接的 conntrack 条目
- 后续所有包恢复标记：用 -m connmark --ctmark 匹配已标记连接，并用 CONNMARK --restore-mark 把标记写回每个包
- OUTPUT 链也要补 restore：本机作为服务端时，本地生成的响应包也需恢复标记，否则失标
配合策略路由实现线路绑定
标记只是起点，真正分流靠独立路由表 + 策略规则：
- 在 /etc/iproute2/rt_tables 中添加线路表名，例如：100 telecom、101 unicom
- 为每张表配置对应出口：ip route add default via 192.168.1.1 dev eth0 table telecom
- 用 ip rule 绑定标记与路由表：ip rule add fwmark 0x100 table telecom
典型双线分流配置示例
假设 eth0 接电信（网关 192.168.1.1），eth1 接联通（网关 192.168.2.1），想让 10.10.10.0/24 的流量固定走联通：
- iptables -t mangle -A PREROUTING -s 10.10.10.0/24 -j MARK --set-mark 0x101
- iptables -t mangle -A PREROUTING -m mark --mark 0x101 -j CONNMARK --save-mark
- iptables -t mangle -A PREROUTING -m connmark --ctmark 0x101 -j CONNMARK --restore-mark
- iptables -t mangle -A OUTPUT -m connmark --ctmark 0x101 -j CONNMARK --restore-mark
- ip rule add fwmark 0x101 table unicom
