已经改正了这项配置，支持 netfilter 的完整功能，但需要重启您的 freeshell 才能生效。抱歉此问题给您带来的不便。

Freeshell 升级物理机中的 vzctl 工具之后，新的 vzctl 工具默认 netfilter（iptables 的内核支持）只支持 filter 和 mangle 表，不支持 conntrack 功能和 NAT 表。如果您的 freeshell 是新建的，或者在 vzctl 工具升级之后重启过，则无法使用 conntrack 和 NAT。

重启 freeshell 后，您可以用下面的命令检查 nat 表的可用性。请注意，ip6tables（IPv6）暂不支持 nat。

# cat /proc/net/ip_tables_names
nat
mangle
filter

感谢 张雪松 的 bug 报告。