iptables 标记本机流量的问题

[isler]

当前环境：
路由器刷的 openwrt，有两个出口，A 和 B，默认出口是 A
因为单位 IP 有企业认证，所以我在路由器上装了个$$ server，用来给外网提供代理
现在需要通过$$ server 访问部分网站时，流量从出口 B 出

目前设置：
iptables -t mangle -N fwmark
iptables -t mangle -A OUTPUT -j fwmark
ipset -N bbb iphash
iptables -t mangle -A fwmark -m set --match-set bbb dst -j MARK --set-mark 0x0001
ip rule add fwmark 0x0001 table bbbtable
ip route add default via $gwbip table bbbtable
其中$gwbip 为 B 口的网关，bbbtable 的优先级设置为 100，dnsmasq 也将域名列表加好

但是还是不能对流量进行正确标记，通过代理的所有流量都是从默认出口 A 出去的，求各位指点。

[liwei]

Netfilter 里面 OUTPUT 这个 hook 是在 ROUTING 操作之后进行的

[isler]

@liwei 过$$的时候，是在 input 之后，output 之前，所以有什么好办法标记吗？

[liwei]

@isler 把 ipset 里面的内容直接做成路由表项添加到路由表里面，或者给 ip rule 加上 ipset 的支持