卸载 nf_conntrack_ipv4 后 NAT 失效，根本原因是 IPv4 连接跟踪能力丢失；5.4+ 内核中该功能已并入 nf_conntrack 主模块，需按 nf_defrag_ipv4→nf_conntrack→nf_nat_ipv4 顺序加载，并确保 sysctl net.netfilter.nf_conntrack_enable=1 和 ip_forward=1。
卸载 nf_conntrack_ipv4 模块后，NAT 规则看似还在，但实际连接无法建立或转发失败，根本原因是 conntrack 子系统已残缺——IPv4 连接跟踪能力丢失，iptables 的 nat 表中 SNAT/DNAT 依赖 conntrack 做状态匹配和地址重写，没它就退化成无状态转发。
为什么 modprobe nf_conntrack_ipv4 失败或不生效
常见现象是执行 modprobe nf_conntrack_ipv4 后查不到模块，或 lsmod | grep nf_conntrack 里只有 nf_conntrack 没有 IPv4 子模块。这是因为内核配置中该模块可能被编译进内核（built-in），而非可加载模块；也可能被自动 alias 到 nf_conntrack，不再独立存在。
- 先确认是否内置：
zcat /proc/config.gz | grep CONFIG_NF_CONNTRACK_IPV4（若为=y，说明已编译进内核，无需 modprobe） - 检查 alias：
modinfo nf_conntrack_ipv4 2>/dev/null || echo "no such module"，返回空说明模块名已弃用（5.4+ 内核普遍如此） - 新版内核（≥5.4）中，IPv4 跟踪逻辑已合并进
nf_conntrack主模块，只需确保nf_conntrack已加载且net.netfilter.nf_conntrack_acct=1等参数合理
conntrack 相关模块的正确加载顺序
强行 modprobe 错误顺序会导致依赖失败或静默忽略。必须按依赖链逐级加载，且注意 nf_defrag_ipv4 是前置必需项（负责 IP 分片重组，否则连接跟踪不完整）。
- 先加载分片处理：
modprobe nf_defrag_ipv4 - 再加载主跟踪模块：
modprobe nf_conntrack - 最后加载协议扩展（如需）：
modprobe nf_nat、modprobe nf_nat_ipv4 - 验证：运行
lsmod | grep -E "(nf_defrag|nf_conntrack|nf_nat)"，应全部出现；再执行conntrack -L不报 “No such file or directory”
NAT 失效后必须检查的三个运行时状态
即使模块加载成功，NAT 仍可能不工作，问题常出在运行时配置而非模块本身。
-
sysctl net.netfilter.nf_conntrack_enable=1：该值为 0 会全局禁用 conntrack，modprobe 无效 -
sysctl net.ipv4.ip_forward=1：NAT 转发前提，尤其对 SNAT/DNAT 都关键 -
iptables -t nat -L -n中规则存在 ≠ 生效：需确认POSTROUTING和PREROUTING链未被其他规则（如 DROP）提前截断，且OUTPUT链若涉及本地发起 NAT 也要检查
最易忽略的是：卸载 nf_conntrack_ipv4 后，/proc/sys/net/netfilter/nf_conntrack_* 下的 IPv4 专用参数（如 nf_conntrack_ipv4_max）会消失，但内核改用统一的 nf_conntrack_max。如果旧脚本依赖这些路径做限速或监控，也会间接导致 NAT 行为异常。
