DSCP匹配不能用于转发链，因为xt_dscp模块仅支持匹配不支持动作，且nat表和filter表均不支持dscp模块；正确路径是DSCP→MARK→策略路由。
不能直接用 iptables -m dscp 匹配业务等级来执行转发（如 DNAT、SNAT 或 FORWARD 跳转），因为 xt_dscp 模块只支持**匹配 DSCP 值**，不支持修改或触发转发动作；而转发策略（如地址/端口重写、路由跳转）必须在 nat 表中完成，但 nat 表**不支持使用 mangle 类模块（包括 dscp）**。
为什么 dscp 匹配不能用于转发链？
iptables 的表和链有严格分工：
-
mangle表：可读写 DSCP 字段（--set-dscp）、设置内核 mark（-j MARK），但仅限于PREROUTING、OUTPUT、POSTROUTING等链，且不能跳转到 nat 动作（如-j DNAT） -
nat表：支持PREROUTING（DNAT）、POSTROUTING（SNAT）、OUTPUT，但不接受-m dscp这类 mangle 模块，因为它在数据包处理流程中位于 mangle 之后，且设计上不解析 IP 头的 DSCP 字段 - 转发决策（
FORWARD链）属于filter表，同样不支持 DSCP 匹配做策略路由
可行的替代路径：DSCP → MARK → 策略路由
想让“特定 DSCP 流量走特定出口或下一跳”，需绕过 iptables 转发限制，改用内核策略路由（policy routing）结合 netfilter mark：
- 第一步：用
mangle表匹配 DSCP 并打内核 markiptables -t mangle -A PREROUTING -m dscp --dscp-class EF -j MARK --set-mark 100 - 第二步：创建独立路由表（如 table 100），写入特定路由
echo "100 voip_route" >> /etc/iproute2/rt_tablesip rule add fwmark 100 table 100ip route add default via 192.168.10.1 dev eth1 table 100 - 注意：该方案影响的是本机发出或转发流量的**出向路径选择**，不是传统意义上的“端口转发”
若目标是“按 DSCP 对入站流量做 DNAT”
这在标准 Linux 网络栈中不可行。DNAT 必须在 nat/PREROUTING 链完成，而该链无法识别 DSCP。可行的变通方式只有：
- 在上游设备（如企业路由器、防火墙）上提前根据业务类型打 DSCP，并在到达 Linux 前完成 DNAT
- 用用户态代理（如 HAProxy、Envoy）监听原始端口，解析应用层协议后按策略分发，再由代理发起新连接（此时可控制其 TOS/DSCP）
- 若流量可控（如固定源 IP+端口），改用 IP/端口组合匹配，而非依赖 DSCP：
iptables -t nat -A PREROUTING -p tcp --dport 5060 -j DNAT --to-destination 10.0.1.5:5060
验证与调试要点
确认 DSCP 是否真正抵达 Linux 主机（常被中间设备清除）：
- 抓包看 IP 头 DSCP 字段：
tcpdump -i eth0 -nn -v 'ip[1] & 0xfc' | grep -i "tos" - 检查 iptables 规则是否命中：
iptables -t mangle -L PREROUTING -v -n，观察 packet count - 确认内核开启 IP 转发：
sysctl net.ipv4.ip_forward必须为 1
本质上，DSCP 是一个跨设备的 QoS 标识，不是 Linux 内部的路由或转发依据。想靠它驱动转发逻辑，得借助策略路由或上层代理，不能指望 iptables 一条命令搞定。
