iptables的mangle表不能直接清除conntrack mark，需结合conntrack -D删除连接条目或用CONNMARK --save-mark同步清零skb mark，再配合超时调优实现重新分类。
在 Linux 中，iptables 的 mangle 表本身不能直接“清除”连接追踪（conntrack）中的 mark 标记，因为 conntrack 中的 mark 是独立于 iptables 规则链维护的，且一旦设置，会随连接生命周期持续存在，直到连接被销毁或显式修改。但你可以通过组合 mangle 表与 conntrack 工具实现“流量重新分类”的效果——核心思路是：重置连接标记 + 触发连接重建或策略重匹配。
理解 conntrack mark 与 iptables mark 的区别
iptables 的 -j MARK 设置的是数据包层面的 nfmark（即 skb->mark），而 conntrack 记录中也有一个独立的 mark 字段（可通过 conntrack -L 查看）。两者默认不同步：
- 仅用
iptables -t mangle -A OUTPUT -j MARK --set-mark 0x1只改包 mark，不改 conntrack mark； - 要影响 conntrack mark，必须使用
-j CONNMARK目标进行同步（如--save-mark或--restore-mark）； - conntrack mark 默认不会自动清零，也不会因新规则而自动失效。
重置 conntrack mark 并触发重新分类的关键操作
若需让某类流量“重新走一遍分类逻辑”，本质是让其连接脱离旧 mark 状态。常用方法如下：
-
主动删除匹配连接记录：
conntrack -D -m 0x100（删除 mark 为 0x100 的所有连接）
或更精准：conntrack -D -p tcp -d 192.168.1.100 --dport 80 -m 0x100 -
清空后立即用 CONNMARK 同步新 mark：
在 mangle 表 PREROUTING/OUTPUT 链中，先用-j CONNMARK --restore-mark恢复旧 mark → 做判断 → 改写 skb mark → 再用-j CONNMARK --save-mark写回 conntrack；
若想“清除”效果，可先设 skb mark 为 0，再 save-mark：iptables -t mangle -A PREROUTING -m state --state ESTABLISHED,RELATED -j CONNMARK --restore-markiptables -t mangle -A PREROUTING -m state --state ESTABLISHED,RELATED -m mark --mark 0x100 -j MARK --set-mark 0iptables -t mangle -A PREROUTING -m state --state ESTABLISHED,RELATED -m mark --mark 0 -j CONNMARK --save-mark -
配合连接超时控制：缩短相关连接的 conntrack 超时时间（如
sysctl -w net.netfilter.nf_conntrack_tcp_timeout_established=60），加速旧标记连接自然过期。
实际场景示例：HTTP 流量从高优先级降级为普通流
假设你曾用以下规则将某 IP 的 HTTP 流量打上 0x200 并走特殊队列：
iptables -t mangle -A PREROUTING -s 192.168.5.5 -p tcp --dport 80 -j MARK --set-mark 0x200iptables -t mangle -A PREROUTING -s 192.168.5.5 -p tcp --dport 80 -j CONNMARK --save-mark
现在想让该用户后续流量恢复默认分类：
- 运行：
conntrack -D -s 192.168.5.5 -p tcp --dport 80（删掉现存连接）； - 确保 mangle 表中不再有针对该源的 MARK/CONNMARK 规则；
- 新建立的连接将无 mark，默认走常规路由和 QoS 分类。
注意事项与替代建议
直接“清除 mark”不是原子操作，需注意：
- CONNMARK 的
--zero-mark不存在，没有内置清零指令； - 频繁删除 conntrack 条目可能引起短时连接中断（TCP 重传）；
- 对已建立连接，仅改 skb mark 不影响 conntrack mark，下游策略（如 tc + fwfilter）若依赖 conntrack mark 就不会更新；
- 更稳健的做法是：用
ip rule+fwmark配合策略路由，在 mangle 表只设 skb mark，由路由层决定走向，避免强依赖 conntrack mark。
