Сложный вопрос по iptables

[Bloodmage]

Может,  конечно он и не такой сложный... 
Определённая программа отправляет с определённого ip пакеты (udp). Нужно заменить ip отправителя на ip другого интерфеса чтобы пакеты, соответственно уходили через него. Я так понимаю, надо прописать что-то хитрое в iptables и этого будет достаточно, я прав? Если я прав(и если нет тоже), собственно что нужно прописать?

[flant]

как это айпи отправителя на айпи интерфейса?? 
имеешь в виду интерфесы поменять? чтоб уходили пакеты по другой сетевухе?

[podkovyrsty]

Может,  конечно он и не такой сложный... 
Определённая программа отправляет с определённого ip пакеты (udp). Нужно заменить ip отправителя на ip другого интерфеса чтобы пакеты, соответственно уходили через него. Я так понимаю, надо прописать что-то хитрое в iptables и этого будет достаточно, я прав? Если я прав(и если нет тоже), собственно что нужно прописать?

Если эта определенная программа не привязана к IP, то достаточно просто указать маршрут до назначения, через нужный интерфейс. И пакеты будут уходить через него. Это делается утилитой route
Можно поменять IP адрес источника в пакете, на выходе определенного интефейса. Это делает iptables
Можно отправлять пакеты с определенного порта , через определенный интерфейс. Это делается пакетом Iproute2

[Bloodmage]

Да, я всё понимаю, что это делается через route но дело в том что программа как раз привязана к интерфейсу

как это айпи отправителя на айпи интерфейса?? 
имеешь в виду интерфесы поменять? чтоб уходили пакеты по другой сетевухе?

Да да, именно
Пользователь решил продолжить мысль 21 Апреля 2011, 18:03:23:Да, ещё добавлю, если какие-то неясности и вы хотите мне посоветовать привязать программу на нужный интерфейс, что через другой интерфейс они должны уходить только на определённый ip(подсеть) на остальные ip всё как обычно,

[podkovyrsty]

Тогда вам в iproute.

[Bloodmage]

Так, мысль понял, ща поковыряюсь...
Пользователь решил продолжить мысль 21 Апреля 2011, 19:05:28:и правда, всё оказывается гораздо проще, спасибо   чё-то я тупанул немного...
И всё-таки, если не сложно, на будущее, напиши примеры вот этого:

Можно поменять IP адрес источника в пакете, на выходе определенного интефейса. Это делает iptables
Можно отправлять пакеты с определенного порта , через определенный интерфейс. Это делается пакетом Iproute2

а то чую что пригодится, а в мануалах рыться и гуглить неохота
Изначально-то я и хотел просто подменить ip отправителя в пакете...

[AnrDaemon]

Опишите конкретную задачу - будут конкретные примеры.
А то "есть программа, не знаю где, но она точно есть..." Как тот суслик.

[Bloodmage]

что касается отправки через другой интерфейс - разобрался. теперь другая проблема - не знаю как заставить этот сервер отвечать на запросы, пришедшие через второй интерфейс...

Код: [Выделить]

iptables -t nat -A PREROUTING -p udp --dport 23000 -j DNAT --to-destination <ip к которому привязан сервер>
как-то не спасает по непонятным мне причинам, хотя если указать ip удалённого такого же сервера (абсолютно такого же, копия) всё прокатывает...

Да, и чтобы стало понятнее, и нагляднее: это игровой сервер, привязаный на достаточно узкий канал.
задачи такие:
1) сделать его доступным по обоим аплинкам
2) незаметно для сервера делать его видимым в инете под другим ip (это можно сказать уже решено в предыдущих постах)

[AnrDaemon]

Ещё раз. Сервер в локальной сети?
Аплинки куда приходят?
Вообще, рисуйте полную картину, с адресацией. А то гадать на киселе....

[Bloodmage]

у самого сервера как такового 2 аплинка в инет.  программа-сервер привязана к одному из них, относительно медленному. всё что нужно сейчас - чтобы udp соединения к серверу работали нормально по обоим аплинкам при том что сервер привязан на один.
Пользователь решил продолжить мысль 23 Апреля 2011, 12:08:34:В теории понял в чём проблема - скорее всего сервер пытается ответить на пришедший запрос так, как написано в таблице маршрутизации. он же не знает что пакет пришёл с другого интерфейса... как-то можно связкой iptables+iproute заставить его отвечать как надо?

[AnrDaemon]

http://anr-daemon.livejournal.com/1655.html

[Bloodmage]

Не могу что-то параллельно с работой понять как все эти MARK и CONNMARK работают, либо  в чём-то другом косяк...
Можно понятный пример для моего случая? Был бы очень признателен И есть ли какой-то подробный мануал на эту тему чтобы я копипастой не занимался? не нашёл подробного описания как подобные схемы работают...

[AnrDaemon]

CONNMARK - марка СОЕДИНЕНИЯ. По сути внутренняя информация системы отслеживания соединений, которая ни на что по большому счёту не влияет сама по себе.
MARK (или FWMARK) - марка ПАКЕТА. Хотя она, как и марка соединения, не существует за пределами конкретного хоста и его заморочек, но по ней, в частности, работает система маршрутизации.
Дальше читай комментарии к правилам в той записи. Пример, кстати, там весьма характерный разобран. Если у тебя структура сети отличается, будут отличаться только правила назначения маркировки, но не вся система целиком.
Яснее стало?

[Bloodmage]

мм... вроде как да... ща ещё попляшу с бубном и если не получится напишу тут всё что делаю, iptables-save, ip route list, ip rule list и т.п. и надеюсь, выясним, что не так...
Пользователь решил продолжить мысль 23 Апреля 2011, 20:35:02:Не получается...

Код: [Выделить]

# ip rule list
0: from all lookup local
32761: from all fwmark 0x1 lookup main
32765: from 188.123.234.27 lookup akado
32766: from all lookup main
32767: from all lookup default


Код: [Выделить]

# ip route list table main
212.1.254.109 dev ppp0  proto kernel  scope link  src 46.73.255.121
10.0.0.0/30 dev tun0  proto kernel  scope link  src 10.0.0.1
192.168.67.0/24 dev wlan0  proto kernel  scope link  src 192.168.67.1
188.123.234.0/24 dev eth1  proto kernel  scope link  src 188.123.234.27
69.10.0.0/16 via 188.123.234.1 dev eth1
172.16.0.0/16 dev eth1  scope link
169.254.0.0/16 dev eth1  scope link  metric 1000
default dev ppp0  scope link


Код: [Выделить]

# ip route list table akado
10.0.0.0/30 dev tun0  scope link
192.168.67.0/24 dev wlan0  scope link
default via 188.123.234.1 dev eth1

# ifconfig

(Нажмите, чтобы показать/скрыть)

eth1      Link encap:Ethernet  HWaddr 00:14:04:43:0d:a7  
          inet addr:188.123.234.27  Bcast:188.123.234.255  Mask:255.255.255.0
          inet6 addr: fe80::214:4ff:fe43:da7/64 Scope:Link
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:59101308 errors:0 dropped:0 overruns:0 frame:0
          TX packets:21493230 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000
          RX bytes:494493571 (494.4 MB)  TX bytes:4024791770 (4.0 GB)



ppp0      Link encap:Протокол PPP (Point-to-Point Protocol)  
          inet addr:46.73.255.121  P-t-P:212.1.254.109  Mask:255.255.255.255
          UP POINTOPOINT RUNNING NOARP MULTICAST  MTU:1492  Metric:1
          RX packets:1012105 errors:0 dropped:0 overruns:0 frame:0
          TX packets:5821000 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:3
          RX bytes:743234959 (743.2 MB)  TX bytes:1281867166 (1.2 GB)

(не интересующие нас интерфейсы убрал)

# iptables-save

(Нажмите, чтобы показать/скрыть)

# Generated by iptables-save v1.4.4 on Sat Apr 23 20:17:53 2011
*filter
:INPUT ACCEPT [113591595:10695188076]
:FORWARD ACCEPT [7604353:5816090835]
:OUTPUT ACCEPT [195652923:177171465435]
-A INPUT -s 193.93.12.0/24 -p udp -m udp --dport 14567 -j DROP
-A INPUT -s 183.76.0.0/15 -p udp -m udp --dport 14567 -j DROP
-A OUTPUT -p udp -m udp --dport 29910 -j DROP
COMMIT
# Completed on Sat Apr 23 20:17:53 2011
# Generated by iptables-save v1.4.4 on Sat Apr 23 20:17:53 2011
*nat
:PREROUTING ACCEPT [294827:31673285]
:OUTPUT ACCEPT [259112:13508501]
:POSTROUTING ACCEPT [176976:6684754]
-A PREROUTING -i ppp0 -p tcp -m tcp --dport 56790 -j DNAT --to-destination 10.8.0.6
-A PREROUTING -i ppp0 -p tcp -m tcp --dport 6915 -j DNAT --to-destination 10.8.0.6
-A PREROUTING -i ppp0 -p tcp -m tcp --dport 6794 -j DNAT --to-destination 192.168.67.10
-A PREROUTING -i ppp0 -p tcp -m tcp --dport 6112 -j DNAT --to-destination 192.168.67.10
-A PREROUTING -i ppp0 -p tcp -m tcp --dport 55738 -j DNAT --to-destination 192.168.67.12
-A PREROUTING -p udp -m udp --dport 23000 -j DNAT --to-destination 188.123.234.27
-A POSTROUTING -o ppp0 -j MASQUERADE
COMMIT
# Completed on Sat Apr 23 20:17:53 2011
# Generated by iptables-save v1.4.4 on Sat Apr 23 20:17:53 2011
*mangle
:PREROUTING ACCEPT [121280161:16530095594]
:INPUT ACCEPT [113591716:10695202502]
:FORWARD ACCEPT [7604353:5816090835]
:OUTPUT ACCEPT [195667334:177173499372]
:POSTROUTING ACCEPT [203259971:182987760164]
-A PREROUTING -j CONNMARK --restore-mark --nfmask 0xffffffff --ctmask 0xffffffff
-A PREROUTING -i ppp0 -p udp -m udp --dport 23000 -j CONNMARK --set-xmark 0x1/0xffffffff
-A FORWARD -o ppp0 -p tcp -m tcp --tcp-flags SYN,RST SYN -m tcpmss --mss 1400:65495 -j TCPMSS --clamp-mss-to-pmtu
-A OUTPUT -j CONNMARK --restore-mark --nfmask 0xffffffff --ctmask 0xffffffff
COMMIT
# Completed on Sat Apr 23 20:17:53 2011

Сервер привязан к 188.123.234.27, соответственно, в любом случае всё отсылает именно с этого ip и принимает подключения только на него. остальное думаю понятно из того что выше. надо чтобы сервер работал через ppp0 так же как и через eth1. пока хотя бы только по порту 23000, второй порт потом сделаю по аналогии.
Чего я тут не так нагородил?
На запросы по ip интерфейса ppp0 (46.73...) со всех других интерфейсов (tun0 или wlan0), как и раньше, отвечает как положено, но если с удалённого сервера делать запрос по ip 46.73... (получается он приходит на ppp0) всё глухо... И если делать запрос на ppp0 wireshark на интерфейсе any не показывает ответных пакетов, они приходят с ip удалённого сервера на ip 46.73... а ответа нет.

[AnrDaemon]

Спрячь простынки под спойлер. Я пока почитаю, что ты пытался сделать. Идею вроде уловил, но так вот сразу не вижу, будет ли работать.