iptables 不能通过清空 fwmark 实现连接状态重置，因 fwmark 是无状态的32位包标记，不参与 conntrack；正确做法是用 -t mangle -j MARK --set-mark 0 清零标记，并配合 ip rule 和新打标规则确保策略路由生效。
不能用 iptables -t mangle “清除路由标记”来实现流量状态重置——因为路由标记（fwmark）本身不携带状态，也不参与连接跟踪；所谓“状态重置”实际是误读。真正可操作的是：清空或重置数据包的 netfilter 标记（fwmark），以便后续策略路由、TC 流量控制或自定义处理逻辑能重新判断，避免旧标记干扰新路径决策。
为什么 fwmark 不等于连接状态
fwmark 是内核为每个数据包附加的一个 32 位整数标签，仅用于匹配 ip rule 或 tc filter 等下游机制。它不记录会话、不关联 conntrack 条目、不随 TCP 状态变化而自动更新。因此：
- 修改或清空 fwmark 不会影响已建立的连接（如 ESTABLISHED 的 TCP 流仍正常收发）
- 不会触发连接重协商、重握手或连接中断
- 也不会改变 NAT 表项、连接超时或防火墙 ACCEPT/REJECT 决策
如何在 mangle 表中清除（归零）fwmark
使用 MARK 目标配合 --set-mark 0 或 --and-mark ~0 可将标记清零。推荐用 --set-mark 0，语义明确、兼容性好：
-
iptables -t mangle -A PREROUTING -m mark --mark 0x123 -j MARK --set-mark 0
→ 匹配已有标记 0x123 的入向包，并将其清零 -
iptables -t mangle -A OUTPUT -m owner --uid-owner nginx -j MARK --set-mark 0
→ 对 nginx 进程发出的所有包统一清标记，便于后续按用户分流 - 若需无条件清空所有包的标记（慎用）：
iptables -t mangle -A PREROUTING -j MARK --set-mark 0
清 mark 后如何确保策略路由/TC 正确生效
清空 fwmark 只是第一步。要让“重置后走新路径”，必须同步满足以下两点：
- 确保
ip rule中没有兜底规则（如from all table main）覆盖掉你期望的路由逻辑 - 在清 mark 的同时或之后，用另一条规则重新打上新标记（例如基于端口、协议、源 IP 或 cgroup），再由
ip rule引导至对应路由表 - 验证是否生效：
ip rule show查规则顺序，ip route get <dst> oif <dev> mark 0x100模拟带 mark 查询路径
常见误操作与规避建议
以下做法无法达成“状态重置”效果，应避免：
- 在 INPUT 或 OUTPUT 链中对已建立连接（
--ctstate ESTABLISHED）清 mark —— 因为该连接后续包可能已被 conntrack 缓存路径，不再经过 mangle PREROUTING/OUTPUT - 仅清 mark 却不更新路由规则或 tc filter，导致流量继续落入旧策略分支
- 混淆
MARK和CONNMARK：前者改单个包标记，后者可同步整个连接的标记（需配合--save-mark/--restore-mark）
