OUTPUT--只拦截无mark进程发出的流量，sidecar通过socket添加mark，java目前还不支持 需要写jni
1.对于非mark进程发出的output且dst目标不是local的添加一个remark1（触发reroute check，同时让流量通过lo走到prerouting链)
//1.添加一个out的自定义链,符合策略路由的都进这个子链
iptables -t mangle -N DIVERTOUT
//2.不拦截22的端口
iptables -t mangle -A OUTPUT -p tcp --sport 22 -j ACCEPT
//gitee的不拦截
iptables -t mangle -I OUTPUT -p tcp -d 212.64.62.183 -j ACCEPT
iptables -t mangle -I OUTPUT -p tcp -d 10.0.2.2 -j ACCEPT
//2.不是envoy(root用户启动)进程发出来的则直接走策略路由--检测xujie是否也在root组
iptables -t mangle -A OUTPUT -p tcp -m owner --gid-owner xujie -j LOG --log-prefix "outboud:xujie mark" --log-tcp-sequence --log-uid
iptables -t mangle -A OUTPUT -p tcp -m owner --gid-owner xujie -j DIVERTOUT
iptables -t mangle -A OUTPUT -p tcp -m owner --gid-owner root -j LOG --log-prefix "outboud:root accept" --log-tcp-sequence --log-uid
iptables -t mangle -A OUTPUT -p tcp -m owner --gid-owner root -j ACCEPT
iptables -t mangle -A OUTPUT -p tcp -j LOG --log-prefix "outboud:not xujie not root accept" --log-tcp-sequence --log-uid
iptables -t mangle -A DIVERTOUT -j MARK --set-mark 1
iptables -t mangle -A DIVERTOUT -j LOG --log-prefix "outbound:not root be marked: " --log-tcp-sequence --log-uid
iptables -t mangle -A DIVERTOUT -j ACCEPT
PREROUTING的流量（来自外部的流量）
初始的操作
iptables -t mangle -N DIVERTIN
//gitee的不拦截
iptables -t mangle -I PREROUTING -p tcp -s 212.64.62.183 -j ACCEPT
//22的端口不拦截
iptables -t mangle -A PREROUTING -p tcp --dport 22 -j ACCEPT
2.不拦截socket已经存在的包，只打标记
iptables -t mangle -A PREROUTING -p tcp -m socket -j LOG --log-prefix "inbound already socke: " --log-tcp-sequence --log-uid
iptables -t mangle -A PREROUTING -p tcp -m socket -j DIVERTIN
iptables -t mangle -A DIVERTIN -j MARK --set-mark 1
iptables -t mangle -A DIVERTIN -j ACCEPT
3.下面代表的都是没有已经建立连接的，则寻找到需要拦截的走tproxy
//不拦截本机访问本机的，根据in 来自loop且不包含remark可以判断--默认 包就在本地的mark不会被剔除
//从lo进来且有mark的1的代表是从output被拦截过来的，则进入tproxy
iptables -t mangle -A PREROUTING -i lo -p tcp -m mark --mark 1 -j LOG --log-prefix "inbound mark tproxy" --log-tcp-sequence --log-uid
iptables -t mangle -A PREROUTING -i lo -p tcp -m mark --mark 1 -j TPROXY --tproxy-mark 1 --on-port 9300
// 其他的从loopback进来的都不拦截正常走
iptables -t mangle -A PREROUTING -i lo -p tcp -j ACCEPT
//不拦截目的端口是proxy的，相当于外面直接请求proxy--对于不是来自loopback的直接走tproxy
iptables -t mangle -A PREROUTING -p tcp ! --dport 9300 -j LOG --log-prefix "inbound not 9300 tproxy" --log-tcp-sequence --log-uid
iptables -t mangle -A PREROUTING -p tcp ! --dport 9300 -j TPROXY --tproxy-mark 1 --on-port 9300
策略路由
ip rule add fwmark 1 lookup 100
ip route add local 0.0.0.0/0 dev lo table 100
ipforward要开启
查看iptables的日志
问题
1.前几次请求时候output会拦截root(sidecar)的请求，导致rst
2.还有一只有10.0.2.2请求
3.一直有postman的ack发送给mesh---代表啥意思？--难道是一直收到了已经收到的包？--是因为mac一直发送keepalive
为啥mac一直不停的发tcp的keepalive虚拟机
istio之前说tproxy 不适应output只能使用hook connect
是因为output在路由之后，所以需要在output链里面设置更改包的属性，比如remark会触发reroute check 重新路由，这个时候包的remark可以让路由走lo，进而从新走prerouting
tproxy的原理是在设置iptables tproxy的时候还未走路由，就把sk_buffer里面的socket替换为监听的透明代理的socket，进而后面路由后，在传输层判断socket是ok的 然后就接受了
iptables -t mangle -A PREROUTING -p tcp -m socket -j DIVERT
对于外部请求进来的检查这个skb_buffer里面的socket是否存在于本地，如果存在代表已经建立过连接了
这就意味着sidecar发往外部的包里面的sock 本地肯定没有，因为skb_buffer里面的socket 是接受socket，但是代理对象本身，或者外部请求进入的socket都在sidecar里面
问题就是skb_buffer里面的sock难道是在路由前就已经可以获取到了？
在iptables 中 这个规则怎么理解
iptables -t mangle -A PREROUTING -p tcp -m socket -j DIVERT
我的问题：
1.上面的规则可以这么理解吗：检测到skb_buffer里面的socket存在与本地则直接转发到DIVERT?
2.如果1是对的，那么skb_buffer里面的sockt是什么时候设置的？难道是触发这条规则的时候现场根据sip,sport，dip，dport搜索的？
3.有两种情况sk天生就存在这种是从output--》lo-->prerouting,还有一种就是在preroute的时候根据五元组去寻找是否存在
outbound:not root be marked: IN= OUT=enp0s3 SRC=10.0.2.15 DST=36.152.44.95 LEN=60 TOS=0x00 PREC=0x00 TTL=64 ID=19958 DF PROTO=TCP SPT=56682 DPT=80 SEQ=1544995998 ACK=0 WINDOW=64240 RES=0x00 SYN URGP=0 UID=1000 GID=1000 MARK=0x1
