INPUT 或 PREROUTING，先检查哪个？

Question

关于iptables。我看到了相互矛盾的解释。

该站点和大多数文章都说在 INPUT 链之前检查 PREROUTING 链。但是另一个教程（第 4-6 页）说 INPUT 在 PREROUTING 之前。该相信谁？

Answer 1

官方 netfilter 文档指出在 INPUT 链之前检查 PREROUTING。下图直接取自文档：

--->PRE------>[ROUTE]--->FWD---------->POST------>
    Conntrack    |       Mangle   ^    Mangle
    Mangle       |       Filter   |    NAT (Src)
    NAT (Dst)    |                |    Conntrack
    (QDisc)      |             [ROUTE]
                 v                |
                 IN Filter       OUT Conntrack
                 |  Conntrack     ^  Mangle
                 |  Mangle        |  NAT (Dst)
                 v                |  Filter