在vtun配置的mangle鏈中有一條規(guī)則

-A AS0_MANGLE_TUN -j MARK --set-xmark 0x2000000/0xffffffff

下面分析mark何意。

mark值有何意義

mark字段的值是一個(gè)無(wú)符號(hào)的整數(shù)，在32位系統(tǒng)上最大可以是4294967296（就是2的32次方），這足夠用的了。比如，我們對(duì)一個(gè)流或從某臺(tái)機(jī)子發(fā)出的所有的包設(shè)置了mark值，就可以利用高級(jí)路由功能來(lái)對(duì)它們進(jìn)行流量控制等操作了。

mark值不是包本身的一部分， 而是在包穿越計(jì)算機(jī)的過(guò)程中由內(nèi)核分配的 和它相關(guān)聯(lián)的一個(gè)字段 。它可能被用來(lái)改變包的傳輸路徑或過(guò)濾。mark值只在本機(jī)有意義！

在本機(jī)給包設(shè)置關(guān)聯(lián)的mark值后，可通過(guò)該值對(duì)包后續(xù)的傳輸進(jìn)行控制（排隊(duì)，流量控制等）。

如何設(shè)置mark

在 http://hi.baidu.com/zmhabc/item/04112b2f68f90c99b6326369 這篇文章中對(duì)mark的介紹比較詳細(xì)。

例子：

iptables -t mangle -A PREROUTING -p tcp --dport 22 -j MARK --set-mark 2 ?

如何匹配mark

iptables -t mangle -A INPUT -m mark --mark 1

-m 即match匹配的意思。

mark的格式是 --mark value[/mask] ，如上面的例子是沒(méi)有掩碼的，帶掩碼的例子如 --mark 1/1 。如果指定了掩碼，就先把mark值和掩碼取邏輯與，然后再和包的mark值比較。

iptables中的mark