bingfengfeifei

@flynaj 跑了 3,4 个小时，0 error 。。

@yinmin console 也没有反应了，而且重启时候的日志分析，日志停在了死机那一刻，CPU 内存状态采集的程序也在那一刻归零一条直线。 大概率还是系统死机了，不仅仅是网络问题

这种需求的场景是什么，你的设备是什么类型，类似路由器的网关设备？
听你需求，很像是 NAT 设备，在 A 上面暴露服务，然后转发到 B 网段。
这种情况下由于 A B 网段的路由不同，做一个 DNAT ，指向 B 的网段就实现了。

你的 A 有公网 IP ，流量能进来的前提是对方的目的 IP 是 A 的 IP ，而你要转到内网，就需要修改目的 IP 吧。

最好说一下具体的应用场景这样才好制定对策。
如果单纯的听你描述是一个特定条件选路的场景（我有点想象不出来具体应用方式），可能是策略路由去解决。
1. A 网卡 B 网卡使用策略路由表，每个网卡单独一张表，例如 A 网卡策略路由表 id 100 B 网卡 id 200
2. 在 iptables NAT 表 prerouting 链对会话打标记 例如 0x8888
3. 然后把 ip rule 里面根据 mark 去选择路由表
4. 注意 rp_filter 参数的调整，要开启松散反向路由的限制。
5. 还得注意反向流的问题

这俩基本可以等同，一个旧点，一个新点用 Go 实现。
都是对接的 CRS 开源规则。
个人用下来感觉，误报巨多。 几乎是不太可用地步。
如果做旁路分析 IP 的行为的话，还勉强能看。想要串行阻断，那几乎不太可能。
除非针对你的业务关闭大部分误报规则，深度调优。

国内安全基本上凉凉了，我就是研究生信安专业，当时同学基本上都转行互联网了。 我一直在本行业，结果现在毕业 6-7 年了，行业一直下坡路。国内安全厂商基本上全都亏损，没有一家过的好的。

感觉像是同时做 DNAT+SNAT ，然后转发到其他机器上。
本机：192.168.1.1
其他机器:192.168.1.2
两进程 localhost 通信
127.0.0.1:12345->127.0.0.1:8080
入站先使用 DNAT 变成 127.0.0.1:12345->192.168.1.2:80
出站使用 SNAT 变成 192.168.1.1:12345->192.168.1.2:80
这样其他机器的响应报文也可以发回来。

主要问题就是 localhost 好像和物理网卡的入站流量不太一样，iptables 拦截不太清楚能不能走到 PREROUTING 和 POSTROUTING 链，可能要开个 route_localnet 的选项

docker+k3s
这俩都是可以静态二进制安装，几乎 0 依赖的。

@laminux29 最后找公司加了一个机械盘，填补了这一块空缺，其他的没敢动。。。

是不是比较稳妥的办法是再加一块硬盘，加入到 zfs 里面，然后形成 1+4 这种方式。
单硬盘跑系统，然后数据在 zfs 里面