@neoblackcap 感谢回复，raw_socket 的话太麻烦了，tcp 还得重组

@eryuan 感谢回复，之前没有接触过 boost 库，刚才简单了解了一下，库调 python 的时候似乎仍然面对 GIL 的问题？

@omph 感谢回复，据我了解，cython 是把 python 代码编译一下加速执行，但是本质上还是需要 python 解释器来执行的，这种情况下不还是需要 GIL 锁吗？

@KCheshireCat @MFC @xi_lin
首先感谢 KCheshireCat 的回答，加上我又翻了一些资料，我的结论如下：
Masquerade 实际上是"动态的"SNAT ，本质上和 SNAT 没什么区别。 iptables 里有一个 nf_conntrack （或者叫 ip_conntrack ）模块来跟踪连接，它通过每条连接通信双方的 IP 和端口来区分，因此它可以区分 nat 和 DMZ 流量。当设置了 Masquerade ，局域网中某主机发起连接，第一个包命中 Masquerade 规则时， nf_conntrack 记录了这次连接，接下来属于这个连接的所有数据包（正反向）都由 nf_conntrack 处理而不会经过 iptables 的 nat 表。对于 DMZ ，由于是从外向内发起连接， nf_conntrack 一开始没有这条记录，于是由 iptables 接手处理，经过 PREROUTING 传给了 DMZ 主机，同时 nf_conntrack 也记录了这次连接并随后接管这条连接。

@KCheshireCat 我的问题实际上就是我觉得两条 DNAT 会冲突
DMZ 会创建一条 DNAT 把发送到路由器公网 IP 数据包的目的地址修改为 DMZ 主机
Masquerade 也会创建一条 DNAT 把发送到路由器公网 IP "某个端口" 的数据包的目的地址改为 NAT 表中记录的主机地址和端口
那么一个发送到路由器公网 IP"某个端口"的数据包，适用哪条 DNAT 规则？如果它选择 Masquerade 创建的规则，是否意味着 DMZ 失效？或者它会区分从外向内的主动被动来选择 DNAT 规则，那对于 UDP 怎么办？

@RE 没懂，我没有猜端口，公网服务器也只是沟通一下双方地址端口，不是在转发流量呀

@jasontse 原来如此，也就是说如果 NAT 刚好随机到了一个 DMZ 主机在监听的端口， DMZ 主机也是收不到数据的是吗？

如果有一方是完全锥形，我觉得应该还是可以的吧
A 是完全锥形， B 是对称
A 向公网服务器发送数据包，打洞
公网服务器告诉 B A 的地址和端口
B 连接 A ， A 接收到 B 的包，也就知道了 B 的地址和端口

@pagxir 是的

@pagxir 在客户端上发送ping请求，抓包结果显示lan收到了请求，并从wan发送了出去，wan口没有收到回复，服务器也没有收到请求
在openwrt上发送ping请求，请求从wan发送了出去，并且收到了服务器的回复

@pagxir 更正一下，我这次抓包等了很久，发现是有RA的，只是等很久才有一个而已