我正在尝试将数据包的标记字段设置为（第 5 层）标头中的 32 位字段，使用nft add rule inet filter output udp dport 31337 meta mark set @th,96,32. （我在第 5 层标头中提取第二个 dword，但由于提取从第 4 层标头的偏移量开始，我添加了 64 位以获取 UDP 有效负载。）
但是，我得到Error: datatype mismatch: expected packet mark, expression has type integer. nftables 中的integer类型是变长的；该mark类型是integer恰好 32 位长的类型的特化。我不知道如何强制转换或以其他方式说服 nftables 该类型实际上是可以的。
有什么见解吗？
我正在使用 Windows Server 2012 R2 上的测试域。我在尽可能高的功能级别上运行，并且在我的小型测试环境中没有向后兼容性问题。但是，我已经意识到，尽管我支持Kerberos AES 身份验证，但默认情况下并未对任何用户启用它。我实际上必须进入用户的属性并选中“此帐户支持 Kerberos AES 128 位加密”和/或“此帐户支持 Kerberos AES 256 位加密”才能启用它。
（我在将测试帐户添加到“受保护的用户”组时首先意识到这一点，该组将策略设置为需要 AES。之后，我所有的网络登录都开始失败，直到我选中了这些框。）
我认为默认情况下可能会禁用此功能以确保某些系统的向后兼容性，但我找不到为所有用户启用此功能的方法，甚至无法解释当前行为。
有任何想法吗？