«iptables -t nat -j LOG» работает на fedora, но не на ubuntu

Я обычно использую заклинание

sysctl net.netfilter.nf_log.2=nf_log_ipv4
sysctl net.netfilter.nf_log_all_netns=1

Откуда там вообще взяться PREROUTING? Ты нарисовал схему прохождения пакета?

А работает ли таблица nat в принципе, если на интерфейсе отключен forward? Проверь этот момент.

Насколько я понимаю, об PREROUTING должен стукаться любой первый пакет, приходящий извне. Так как связь с хостом держится через адаптер, пакеты оттуда вполне внешние. Если бы они не проходили хук PREROUTING, нельзя было бы в принципе настроить DNAT из внешней сети во внутреннюю - плюс, не работает вообще вся таблица nat (POSTROUTING, INPUT, OUTPUT - нигде нет сообщений, есть только на других таблицах). И опять же, на fedora все работает

Выставил net.ipv4.ip_forward и net.ipv4.enp0s8.forwarding (интерфейс vbox адаптера) на 1. Увы, ничего не поменялось

Увы, не помогло

Насколько я понимаю, об PREROUTING должен стукаться любой первый пакет, приходящий извне

для входящих соединений. Для установленных соединений другие механизмы (но это не точно, давно не трогал).

вроде как ubuntu по-умолчанию на nft переехали

Там может Connection Tracking мешать. Не помню точно механизм, но вроде в NAT таблицу попадают только первые пакеты до установления соединения. Потом они уже Established или Related и Tracking механизм их проводит мимо. Если тебе надо просто логировать - логичнее было бы использовать RAW таблицу и её PREROUTING. Туда должно валиться всё что приходит до любой обработки.

Да, по идее после установления соединения там работает conntrack. Но беда-то в том, что мне не логировать надо, а делать DNAT, и именно при установке соединения. Просто когда у меня это не получилось, я стал копаться, почему - и обнаружил, что вся таблица nat на убунте почему-то мертвая. Хотя iptables там встроенный и все из коробки (точнее, из live cd). Таблица RAW работает как надо - там пакеты есть

Точнее, скорее всего, это я что-то не понимаю в настройке этого чуда (ну не может же в версиях за несколько лет не работать) - но вот что именно, найти никак не могу

оказывается, таблица NAT в убунте не будет работать, пока в нее не добавлено хотя бы одно правило -j REDIRECT. Добавить iptables -t NAT -A PREROUTING -j ACCEPT НЕ достаточно. В fedora это, видимо, пофиксили. Оригинальный ответ - 1562825 на askubuntu