(dnat | redirect) с маскарадом не работает

У меня проблема, до недавнего времени все работало нормально. но сейчас это не работает, но на другом тестовом сервере работает нормально

Я отправляю весь трафик на tor, и эта часть работает нормально. Проблема заключается в маскараде, я думаю, поскольку он не меняет порт dnat / redirect 9040 на исходный порт 80/443 обратно после получения ответа

• http://ipinfo.io:9040

• Программное обеспечение:

  • 1.6.1-2ubuntu2
  • ubuntu 16.04 / 18.04 тот же результат
  • tor 0.3.2.9-1build1

• Сети

  • virbr1 - 192.168.2.0/24 - только хост
  • eno1 - 192.168.1.0/24 - интернет

• Iptables:

  • / sbin / iptables -t nat -A РАЗМЕЩЕНИЕ -o virbr1 -j MASQUERADE
  • / sbin / iptables -t nat -A POSTROUTING -o eno1 -j MASQUERADE # на другом сервере работает без этого, это было просто для тестирования
  • / sbin / iptables -t nat -A PREROUTING -p udp --source 192.168.2.6! --destination 192.168.2.1 -j DNAT --to-destination 192.168.2.1:9040 # проверено REDIRECT --to-ports 9040, то же самое

*filter :INPUT ACCEPT [174876:86417485] :FORWARD DROP [0:0] :OUTPUT ACCEPT [170612:89138010] :DOCKER - [0:0] :DOCKER-ISOLATION - [0:0] :DOCKER-USER - [0:0] -A FORWARD -d 192.168.2.8/32 -i virbr1 -o virbr1 -j ACCEPT -A FORWARD -s 192.168.2.8/32 -i virbr1 -o virbr1 -j ACCEPT -A FORWARD -d 192.168.2.0/24 -o virbr1 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT -A FORWARD -s 192.168.2.0/24 -i virbr1 -j ACCEPT -A FORWARD -i virbr1 -o virbr1 -j ACCEPT -A OUTPUT -s 192.168.2.8/32 -j DROP COMMIT # Completed on Tue Feb 20 09:32:11 2018 # Generated by iptables-save v1.6.1 on Tue Feb 20 09:32:11 2018 *nat :PREROUTING ACCEPT [193:19723] :INPUT ACCEPT [193:19723] :OUTPUT ACCEPT [129:12889] :POSTROUTING ACCEPT [124:11792] :DOCKER - [0:0] -A PREROUTING -s 192.168.2.8/32 -p tcp -m tcp --dport 53 -j DNAT --to-destination 192.168.2.1:5353 -A PREROUTING -s 192.168.2.8/32 -p udp -m udp --dport 53 -j DNAT --to-destination 192.168.2.1:5353 -A PREROUTING -s 192.168.2.8/32 ! -d 192.168.2.1/32 -p tcp -j DNAT --to-destination 192.168.2.1:9040 -A PREROUTING -s 192.168.2.8/32 ! -d 192.168.2.1/32 -p udp -j DNAT --to-destination 192.168.2.1:9040 -A POSTROUTING -o tun5 -j MASQUERADE -A POSTROUTING -o virbr1 -j MASQUERADE COMMIT # Completed on Tue Feb 20 09:32:11 2018 # Generated by iptables-save v1.6.1 on Tue Feb 20 09:32:11 2018 *mangle :PREROUTING ACCEPT [3538365:1832890486] :INPUT ACCEPT [3538362:1832890258] :FORWARD ACCEPT [3:228] :OUTPUT ACCEPT [3495644:1711746305] :POSTROUTING ACCEPT [3496898:1711973811] -A POSTROUTING -o virbr1 -p udp -m udp --dport 68 -j CHECKSUM --checksum-fill -A POSTROUTING -o virbr0 -p udp -m udp --dport 68 -j CHECKSUM --checksum-fill -A POSTROUTING -o virbr1 -p udp -m udp --dport 68 -j CHECKSUM --checksum-fill COMMIT

• / proc / sys / net / ipv4 / ip_forward установлен на 1

• Мониторинг с conntrack -L

  • tcp 6 431973 УСТАНОВЛЕНО src = 192.168.2.6 dst = 172.217.16.4 sport = 49215 dport = 443 src = 192.168.2.1 dst = 192.168.2.6 sport = 9040 dport = 49215 [ASSURED] mark = 0 use = 1
  • tcp 6 431983 УСТАНОВЛЕНО src = 192.168.2.6 dst = 104.81.60.33 sport = 49226 dport = 80 src = 192.168.2.1 dst = 192.168.2.6 sport = 9040 dport = 49226 [ASSURED] mark = 0 use = 1
  • tcp 6 431972 УСТАНОВЛЕНО src = 192.168.2.6 dst = 64.233.184.154 sport = 49211 dport = 443 src = 192.168.2.1 dst = 192.168.2.6 sport = 9040 dport = 49211 [ASSURED] mark = 0 use = 1
  • tcp 6 431972 УСТАНОВЛЕНО src = 192.168.2.6 dst = 54.192.185.106 sport = 49216 dport = 80 src = 192.168.2.1 dst = 192.168.2.6 sport = 9040 dport = 49216 [ASSURED] mark = 0 use = 1
  • tcp 6 431973 УСТАНОВЛЕНО src = 192.168.2.6 dst = 216.58.208.46 sport = 49194 dport = 80 src = 192.168.2.1 dst = 192.168.2.6 sport = 9040 dport = 49194 [ASSURED] mark = 0 use = 1
  • tcp 6 74 TIME_WAIT src = 192.168.2.6 dst = 178.255.83.1 sport = 49190 dport = 80 src = 192.168.2.1 dst = 192.168.2.6 sport = 9040 dport = 49190 [ASSURED] mark = 0 use = 1

PS на другом сервере с той же ОС, версией iptables, правилами iptables он работает нормально

заранее спасибо