添加防火墙规则后无法访问个别网站

[isler]

在学校里在 openwrt 用 ss+ipv6 免流，但是有些网站需要学校 IP 登陆，比如知网， IEEE ， ACM 等等，所以用 ipset+iptables 让这些网站直连，其余走 ss

但是，知网（ cnki.net ）在设置规则后会超时无法访问，其他几个网站都没问题

而且，知网的个别子域名可以访问，只有主域名和下载等少数几个子域名会超时

知网的所有域名都能 ping 通， tracert 也没问题

尝试 telnet cnki.net 80 ，发现在路由器上可以通，但是在路由器后面连接的所有设备上都会超时，其他几个网站无此问题

尝试过修改 MTU ，直接放行知网的 IP 段（同时在 dnsmasq 设置中取消给知网添加 set 的规则），但仍然超时，而且在访问知网时创建的 set 里能正确添加知网 IP ，所以应该和 ipset 无关

求教如何解决这个问题

附相关的规则：

ipset -N ss iphash
iptables -t nat -A PREROUTING -p tcp -s 192.168.1.0/24 -m set --match-set ss dst -j RETURN
iptables -t nat -A PREROUTING -p tcp -s 192.168.1.0/24 -j REDIRECT --to-ports 1234

server=/.cnki.net/8.8.4.4#53
ipset=/.cnki.net/ss