我设置了一个分段的本地网络，其中每个段都划分为 VLAN，并且所有 VLAN 根部的交换机还充当所有 IP 段/VLAN 之间的路由器（交换机是运行 DNOS 9.14 的 Dell S4810）。 其中一个段是通向互联网的网关，互联网网关的本地 IP 地址是 S4810 的默认网关 IP 地址。 在将数据包转发到外部之前，它会应用 SNAT（伪装），以便转发到互联网的数据包具有默认路由器的公共地址作为源地址。 这里没什么特别的。 几乎所有事情似乎都按预期工作：任一段中的节点都可以联系其他段中的其他节点，它们都可以访问互联网并获得回复，并且该 LAN 之外的节点确实会看到正确的伪装源 IP 地址。
当 Internet 网关机器（不是 S4810）也运行带有 Proxmox 的虚拟机时，事情就变得棘手了。这台机器运行 Debian 12.5，并在通往 S4810 的物理接口之上配置了 VLAN 接口，并且 VLAN 接口本身被包装到桥接器中，每个 VLAN 一个。通往互联网的接口也包装在自己的桥接器中。我使用桥接器，以便 Proxmox VM 可以使用它们连接到任一网络。当这台机器上运行的虚拟机在 Internet 桥接器中具有虚拟接口时，它可以正确访问互联网，但源 IP 地址不需要 SNAT，也没有 SNAT。
当另一个虚拟机在其中一个 VLAN 接口/网桥上具有虚拟接口时，它可以访问相应 VLAN 中的其他计算机。此外，VLAN 段中的任何计算机都可以使用 S4810 作为默认网关毫无问题地访问互联网，包括虚拟机，只要它们不在互联网网关/Proxmox 虚拟机管理程序上运行，而是在任何其他 Proxmox 虚拟机管理程序计算机上运行。但是，当在互联网网关/Proxmox 虚拟机管理程序上运行的虚拟机想要通过其中一个 VLAN 访问互联网时，它无法这样做。就像其他按预期工作的机器一样，虚拟机配置为使用 S4810 作为默认网关。S4810 将从其接收到的任何发往互联网的数据包重定向到互联网网关/Proxmox 虚拟机管理程序，并且该网关应该使用伪装转发数据包。除了在这个精确场景中，伪装不适用
我可以看到数据包发往 S4810，我可以看到 S4810 将数据包发送回 Internet 网关，我可以tshark在 Internet 网关上看到该数据包两次（一次使用ttl 64，第二次使用ttl 62，即在执行第二次路由之后）但nftables的nat postrouting表（优先级srcnat）似乎只捕获了它一次，使用ttl 64，即在它被发送到任何地方之前，以及在需要应用伪装之前。当数据包返回并且需要应用伪装时，似乎 根本nftables看不到它，如表meta nftrace set 1顶部的规则nat postrouting和相应的nft monitor trace命令所断言的那样。结果，根本没有应用伪装，接收数据包的外部节点使用未经 SNAT 的源地址接收它，并且它无法发送回复。
是否有这样的功能，即nftables它只接受查看给定的数据包一次？如果是这样，我该如何停用它，以便在正确的时刻应用伪装？还是发生了其他完全不同的事情？我很乐意为您提供任何您需要的日志或捕获，以帮助我进行故障排除。