Veth被宣传为具有连接到同一主机的两个 NIC 的基本外部以太网网络的隐喻。这让我假设，在数据包被过滤、路由、发送veth并从另一端重新进入后，它应该被视为来自外部世界的新数据包，并再次通过所有相关的 netfilter 规则。
这只发生在 veth 对跨越网络命名空间的边界时（即，当数据包没有通过当前命名空间中的网络过滤器时）。但是，我的用例涉及 VRF 而不是命名空间，在这样的配置中，在遍历 veth 对后，我根本看不到数据包进入 netfilter 堆栈。
在将数据包路由到适当的 VRF后，我需要应用 netfilter (NAT) 规则，但我似乎无法做到这一点。
所以我的问题是：
- 为什么从 veth 出来的数据包不进入过滤堆栈？
- 有没有办法让它这样做？
- 如果以上都不可能，我的选择是什么？
谢谢。