| Цитата(butcher) |
Подобное правило iptables -t nat -A POSTROUTING -s 172.16.0.0/24 -j MASQUERADE |
во-1-ых: когда маскарад начинаешь, очень важно указать выходной интерфейс, под адрес которого ты маскируешься. если не укажешь... РТФМ на какой адрес айпи-тейбл тебе все пакеты переведет
я честно и не знаю, предполагаю на тот, который у тебя идет на дифолтный шлюз, а это не всегда правильный, у меня напр.:
iptables -t nat -I POSTROUTING -o ppp0 -j MASQUERADE
а дефолтный шлюз у меня не ppp0.
во-2-ых: я не хочу вдаваться в подробности этого сайта, я на него не ходил.
но возможно что тебе нужно не только маскарад делать но и статические правила SNAT и/или DNAT.
давай распиши какие у тя подсети, и кто шлюз кого, и тогда покумекаем, а то ... слишком много неизвестностей.
в-3-х: в СуЗе, надо иднти ихним путем, - т.е. добавлять правила через Яст ихний.. а то много можно граблей накушаться.
в-4-х: если маршрутизация настроена криво - тоже будут проблемы.
ниже - мысли вслух.(немного сумбурные, но правильные )
шлюз VPN: с 2-мя сетевухами: одна на внутр. рабочую сеть, другая на интернет.
когда поднимается VPN, то туннель тоже имеет свой интерфейс, с адресом.
на него будем бросать пакеты. как и какие?
путь 1:если всем клиентам нужен доступ через VPN, обычно клиентов во внутренней сети держут в одной подсети с VPN сетью. перенапр. пакетов делается с помощью ip_forward и маршрутизации.. в таком случае в логах можно будет видеть кто куда лазал.
путь 2:можно сделать и по другому: на него и выводят пакеты тех кому надо пробиться в туннель VPN через MASQUERADE. но в таком случае, на другом конце туннеля видно будет только 1 адрес шлюза, что не всегда достаточно хорошо с точки зрения обозрения
давай... излогай доступно. че те нада ?