Dotaz: [iptables] SNAT v PREROUTING chainu

[TSarevna]

Mám tu hlavolam...

Z ethernetu 10.230.0.0/16 mi tečou do routeru pakety. Na routeru se uzavírá policy-based IPSec, kterej má na místním konci rozsah 172.16.0.0/16. No a já potřebuju, aby ty data z toho ethernetu lítaly do toho IPSecu.

Ten IPSec je dělanej openswanem, takže jede v userspace (nemá interface). Tudíž pakety pro něj jedou přes INPUT a ne přes FORWARD->POSTROUTING, kde bych SNAT dělal normálně...

Bohužel udělat

iptables -t nat -A PREROUTING -s 10.230.122.53 -j SNAT --to-source 172.16.122.53

nejde :(

Odpovědi

[NN]

-A POSTROUTING

[TSarevna]

No - vždyť to píšu. Tenhle traffic se do POSTROUTINGu nikdy nedostane, userspace program ho odebere někdy během routování.

[Sten]

Tohle bude potřebovat prohnat ty packety alespoň jednou přes POSTROUTING (směrem tam i zpět). Napadá mě nastavit tam routování pro ty NATované packety (před zaNATováním a před odNATováním) tak, že se protočí přes lo a při tom se NATují.