link-local маршрут в таблицу 1 добавить забыл

@etw Чот хуита всё равно: l29ah-x201 ~ ∞ ip rule | grep 0x2 32764: from all fwmark 0x2 lookup 2 l29ah-x201 ~ ∞ ip r s table 2 default via 192.168.4.1 dev tun0 192.168.4.0/24 dev tun0 proto kernel scope link l29ah-x201 ~ ∞ iptables-save | grep 0x2 -A OUTPUT -s 192.168.4.11/32 -j MARK --set-xmark 0x2/0xffffffff l29ah-x201 ~ ∞ ping -I tun0 -c 1 192.168.4.11 PING 192.168.4.11 (192.168.4.11) from 192.168.4.11 tun0: 56(84) bytes of data. 64 bytes from 192.168.4.11: icmp_seq=1 ttl=64 time=0.092 ms --- 192.168.4.11 ping statistics --- 1 packets transmitted, 1 received, 0% packet loss, time 0ms rtt min/avg/max/mdev = 0.092/0.092/0.092/0.000 ms l29ah-x201 ~ ∞ ping -I tun0 -c 1 8.8.8.8 PING 8.8.8.8 (8.8.8.8) from 192.168.4.11 tun0: 56(84) bytes of data. --- 8.8.8.8 ping statistics --- 1 packets transmitted, 0 received, 100% packet loss, time 0ms

@l29ah Тьфу, l29ah-x201 ~ ∞ ping -I tun0 -c 1 192.168.4.1 PING 192.168.4.1 (192.168.4.1) from 192.168.4.11 tun0: 56(84) bytes of data. 64 bytes from 192.168.4.1: icmp_seq=1 ttl=64 time=92.5 ms --- 192.168.4.1 ping statistics --- 1 packets transmitted, 1 received, 0% packet loss, time 0ms rtt min/avg/max/mdev = 92.523/92.523/92.523/0.000 ms

@l29ah А че output, а не prerouting?

@etw Хотя, конеш, пинг должен вообще без правил фаервола работать, т.к. биндинг к интерфейсу задается явно

@etw Не должен, поскольку маршрутизацию никто не отменял.

@etw Хуйня с локальных сокетов пройдёт мимо prerouting, не?

Хм, такое чувство будто rule не срабатывает.

@l29ah ip rule add from 192.168.4.11 table 2 во заебись // нихуя не понимаю что не работало, на маркировку пакеты приходили же

@l29ah В output в любом случае уже поздно маркать траф для pbr

@etw https://upload.wikimedia.org/wikipedia/commons/3/37/Netfilter-packet-flow.svg чо я тут не вижу mangle OUTPUT?

@etw :*

@l29ah Я имею в виду, без маркировки трафика, т.к. она, по сути нужна, чтобы к интерфейсу прибиндился только первый пакет в flow, а дальше... а, ясно, где у тебя "ip rule from 192.168.4.11 lookup 2" ?

@l29ah Сразу после conntrack справа

@etw Лол, firefox почему-то не счёл это текстом и по output не нашёл.

@l29ah В том-то и дело, что не приходили. Это правило нужно, чтобы, во-первых, правильно работал софт, который сразу отсылает пакеты с src addr нужного интерфейса (как пинг в этом треде, например), и, во-вторых, чтобы в фаерволе не трекать соединения и затем маркать все исходящие пакеты с ним, а только первые пакеты в flow, т.к. все последующие уже будут вылетать в routing engine c правильным src ip сокета.

@etw Приходили, и я это видел в -vL. Какое правило? Зачем вообще нужна возня с маркировками когда есть ip rule from?

@l29ah В моём случае, когда я разделяю процессы по таблицам методом выставления им адреса, на который они должны биндиться, that is.

@l29ah Да, в твоем случае можно без фаервола обойтись.

@l29ah > Приходили, и я это видел в -vL. Лан, может, и приходили, но routing decision уже в этот момент прошел и они, скорее всего, вылетали в default route основной таблицы. Кстати, rule of thumb: output и postrouting - после routing decision, input и prerouting - до, forward - между. В любых таблицах. > Какое правило? > ip rule add from 192.168.4.11 table 2

Локальное правило таки не нужно, похоже.

@l29ah Если у тебя p2p интерфейс, то, возможно, и прокатит. Иначе - нужно, чтобы находить маршрутизатор, которому ты отсылаешь траф через default route. Или ты не про link loсal маршрут?

@etw И, кстати ,если у тебя p2p интерфейс и ты хочешь выкинуть link local рут, то тогда понадобится дефолтный маршрут привести к виду ip route add deafult dev <ifname>

@etw ну и таблицу указать, конечно

@etw Да, у меня тупая впнка тама. Чмаки.

Чёт зароутил марком в впнку tcp, в результате он тупо сломался. iptables -t mangle -A OUTPUT -o wwan1 -j YOTA iptables -t mangle -A YOTA -p tcp --dport 80 -j MARK --set-xmark 0x2

@l29ah Блядь. Не. Маркай. Траф. В. OUTPUT.

@etw Сорь, туплю. Маркай.

@l29ah Хз, короч.

@etw Хм, мне SNAT ещё нужен штоле?

@l29ah Чёт всё равно нихуя.

@l29ah снат не нужен. подебаж свой конфиг "ip route get"-ом и wireshark-ом. Посмотри что куда ходит и, самое главное, с какими адресами возвращается.

@l29ah У тебя пинги через туннель идут, когда на ты интерфейс явно задаешь?

@etw Нажал ваяшак на tun0, не вижу чтобы curl http://google.com/ чото породил.

@etw У меня всё через туннель охуенно идёт, когда прибиндено к правильному адресу. Я же хочу часть портов зароутить идущих в интернеты с похуй какого адреса.

@l29ah а ip route get что говорит?

@etw Полную команду напиши, я не понимаю что ты хочешь.

@l29ah ip r get <ipaddr> mark 2

@etw ∞ ip r get 173.194.32.131 mark 2 173.194.32.131 via 192.168.4.1 dev tun0 src 192.168.4.11 mark 2 cache

@l29ah В сниффер даже syn-пакеты не ловит? Ты смотрел с какими заголовками через другой интерфейс пакеты соединения летят?

@etw Не ловит. Алсо ВНЕЗАПНО ловит вебню роутера, которая стучится на 192.168.8.1 и закономерно сосёт хуи потому что роутер не там. Не понял какие заголовки интересны.

@l29ah ip-заголовки, вестимо. если конкретно, то адреса.

@etw Через другой интерфейс - это в каком случае? ЯННП.

@l29ah Хуйня какая-то. С этим правилом wireshark вообще ничего по фильтру http не может выловить.

@l29ah А, я хуй.

@etw syn, syn,ack, дальше гугол мне ретрансмишоны шлёт.

@l29ah О, я кажется обосрался с натоговном.

@l29ah Или нет. Вроде SNAT правильно работает, но я почему-то не обрабатываю ответ сервера.

@l29ah Кажется я хочу CONNMARK.

@l29ah Ну или вместо него писать отдельно правила на вход и на выход.

@l29ah Че за правила? SNAT и так stateful, маркать вхоядщий траф для pbr не требуется. У тебя что ли в фильтрах косяки?

@etw Ок, тогда я ничего не понимаю. В фильтрах у меня ничего интересного нет НЯП.

@l29ah ∞ iptables-save # Generated by iptables-save v1.4.21 on Wed Oct 7 09:10:28 2015 *nat :PREROUTING ACCEPT [11:5237] :INPUT ACCEPT [0:0] :OUTPUT ACCEPT [68:6526] :POSTROUTING ACCEPT [65:6342] -A PREROUTING -i torout -p tcp -m tcp --dport 4447 --tcp-flags FIN,SYN,RST,ACK SYN -j REDIRECT --to-ports 4447 -A PREROUTING -i torout -p tcp -m tcp --tcp-flags FIN,SYN,RST,ACK SYN -j REDIRECT --to-ports 9040 -A PREROUTING -i torout -p udp -m udp --dport 53 -j REDIRECT --to-ports 53 -A POSTROUTING -o wwan1 -j MASQUERADE -A POSTROUTING -o tun0 -m mark --mark 0x2 -j SNAT --to-source 192.168.4.11 COMMIT # Completed on Wed Oct 7 09:10:28 2015 # Generated by iptables-save v1.4.21 on Wed Oct 7 09:10:28 2015 *mangle :PREROUTING ACCEPT [4743:426556] :INPUT ACCEPT [4712:415542] :FORWARD ACCEPT [0:0] :OUTPUT ACCEPT [7124:7380761] :POSTROUTING ACCEPT [7124:7380761] :DIVERT - [0:0] :YOTA - [0:0] -A FORWARD -o wwan1 -j YOTA -A OUTPUT -o wwan1 -j YOTA -A YOTA -p tcp -m tcp --dport 80 -j MARK --set-xmark 0x2/0xffffffff COMMIT # Completed on Wed Oct 7 09:10:28 2015 # Generated by iptables-save v1.4.21 on Wed Oct 7 09:10:28 2015 *filter :INPUT ACCEPT [49949:5889276] :FORWARD ACCEPT [0:0] :OUTPUT ACCEPT [73695:66267929] :f2b-sshd - [0:0] -A INPUT -p tcp -m multiport --dports 22 -j f2b-sshd -A INPUT -i torout -p tcp -j ACCEPT -A INPUT -i torout -p udp -m udp --dport 53 -j ACCEPT -A INPUT -i torout -j REJECT --reject-with icmp-port-unreachable -A FORWARD -d 192.168.8.1/32 -j REJECT --reject-with icmp-port-unreachable -A FORWARD -i torout -j REJECT --reject-with icmp-port-unreachable -A OUTPUT -p tcp -m owner --uid-owner 1003 -m tcp --dport 443 -j REJECT --reject-with icmp-port-unreachable -A f2b-sshd -j RETURN COMMIT # Completed on Wed Oct 7 09:10:28 2015

@l29ah > -A PREROUTING -i torout -p tcp -m tcp --dport 4447 --tcp-flags FIN,SYN,RST,ACK SYN -j REDIRECT --to-ports 4447 > -A PREROUTING -i torout -p tcp -m tcp --tcp-flags FIN,SYN,RST,ACK SYN -j REDIRECT --to-ports 9040 -m conntrack --ctstate NEW, не? > -A POSTROUTING -o tun0 -m mark --mark 0x2 -j SNAT --to-source 192.168.4.11 я бы проверку марок из snat убрала. если не хочешь пускать через туннель ничего, кроме http, лучше в filter явно дропай, будет проще понять, что происходит, по счетчикам.

@etw Какая разница? Зачем? Не, я дохуя всего хочу пускать, в первую очередь торренты и git, а на http экспериментирую.

@l29ah > Какая разница? читать проще :3 > Не, я дохуя всего хочу пускать, в первую очередь торренты и git, а на http экспериментирую а нафига тогда проверка марок? убирать ее пробовал?

@etw Проверку марок я пихнул потому что только маркированные пакеты рискуют идти с левого source. Убирал, разницы никакой.

@l29ah О, бля, чото происходит.

@l29ah Волшебным образом после ребута в свежепересобранное ядро оно работает.

@l29ah Лан

@l29ah КАК ЭТО РАБОТАЛО ПОЧЕМУ БОЛЬШЕ НЕ РАБОТАЕТ????(((((((