iptables и mark packets

[ulan44]

доброго времени суток комрады.
Раньше всегда обходился стандартными правилами iptables accept drop reject maquerade и прочее все остальное делал через route или 2iproute.
От буквально вчера столкнулся с такой штукой как маркировка пакетов и пока еще не до конца вьехал как реализовать данную задачу.
Допустим есть некий трафик который ходит по 443 порту допустим на ресурс https://mydomen.ru и есть подсеть 172.16.0.0/24 так вот
нужно для этой подсети открыть доступ только на ресурс https://mydomen.ru по порту 443, а весь остальной трафик который идет по 443 порту отправлять на сервер авторизации 172.16.0.1

Пока дошел только до таких правил весь маркированный трафик 99 по порту 80 и 443 отправляется на сервер 172.16.0.1

Код: [Выделить]

$IPT -N internet -t mangle
$IPT -t mangle -A PREROUTING -j internet
$IPT -t mangle -A internet -j MARK --set-mark 99
$IPT -t nat -A PREROUTING -m mark --mark 99 -p tcp --dport 80 -j DNAT --to-destination 172.16.0.1
$IPT -t nat -A PREROUTING -m mark --mark 99 -p tcp --dport 443 -j DNAT --to-destination 172.16.0.1:443
А остальное пока не додумал как сделать. Предполагаю что будет что-то вроде

Код: [Выделить]

$IPT -N localnet -t mangle
$IPT -t mangle -A PREROUTING -j localnet
$IPT -t mangle -A localnet -j MARK --set-mark 100

$IPT -t mangle -A localnet -p tcp -s mydomen.ru --dport 443 а что дальше без понятия


[AnrDaemon]

Зачем вообще вы это делаете?…
Вы описали все правила, которые вам нужны, а код показываете совершенно какой-то не от мира сего.

[ulan44]

Делается для гостевого wifi в организации.
Да можно сделать простыми правилами, но так как я с маркировкой пакетов не сталкивался, хотелось бы разобраться на практике, да я знаю читайте маны, но есть данный пример который я описал выше. Если это сделать не возможно тогда вопрос снят. И тему можно закрыть.
А так все для общего развития.

[AnrDaemon]

Вопрос был, зачем вы морочите себе голову маркировками?…
Маркировать пакеты приходится настолько редко, что это даже не смешно.
И, да, на случай, если вы не знали - все эти маркировки строго локальны.
Если вам нужна изолящия гостевой сети от сети организации, для этого есть VLAN.