我个人就是从上周日开始有点头疼，到现在没有其他症状，不知道是不是阳，也没有去医院或者试纸检查

报个到

《我在英国教功夫》

@tms 感谢兄弟

@samuel 我也是啊，兄台

坐标北京，请问在哪领

贝多芬第 9 交响曲--两德统一版

除了耗电量，其他都挺给力的

分子

@chendy 当你不想干一件事的时候，能找到一万个理由

@Nitroethane 会不会是你的网络插件的策略呢？我不懂 cilium，是不是 cilium 有修改网络策略的功能呢？

@Nitroethane 我是这么理解的，不知道对不对，它通过 KUBE-SEP-<HASH>规则匹配肯定是能匹配到最后一条 -j DNAT --to-destination 10.244.4.8:80 这 rule 的，iptables 将数据包做了 DNAT(ip 换成 pod 的 ip 地址)，然后它还是会从 POSTROUTING 出去吧（如果报文的源 ip 地址不是 pod ip 的网段的话）可以参考 POSTROUTING 的这条规则(-A POSTROUTING -s 10.244.0.0/18 -d 10.244.0.0/18 -j RETURN)，应该是这个网络接口离开,由于宿主机上肯定有对应 pod ip 的路由表，因而数据包最终是会被送到 pod 方的

另外我这边看到的`KUBE-SEP-<HASH>`的规则，最后的 DNAT 是有明确的 pod 的 ip 和端口的
```shell
iptables -t nat -S KUBE-SEP-XWLQUYERTFMNWPFB
-N KUBE-SEP-XWLQUYERTFMNWPFB
-A KUBE-SEP-XWLQUYERTFMNWPFB -s 10.244.4.8/32 -m comment --comment "default/node-test-svc:http" -j KUBE-MARK-MASQ
-A KUBE-SEP-XWLQUYERTFMNWPFB -p tcp -m comment --comment "default/node-test-svc:http" -m tcp -j DNAT --to-destination 10.244.4.8:80
```

hello，楼主把规则 写成 iptables -t nat -S 吧，这么看，确实有点眼花缭乱

@arthurire 插个嘴，香奶奶是啥