Помните я ныл про wireguard и посос с форвардингом? Как оказалось, я на той тачке переехал на nftables. И забыл. В результате после дроча с wireguard там работало два почти идентичных набора правил, но один в нфт, а второй в ипстолах. Само собой в нфт на неведомое в форварде стоял дроп. Такие дела. Алсо, в современных прыщиксах iptables это iptables-nft, и его правила (иногда криво, но всё же) видно через nft. Короче, прыщарды, PSA: пора менять привычки: если раньше при любом втф с фаерволлом ты нажимал iptables-save и смотрел, то теперь надо нажимать nft list ruleset и смотреть туда.

Кто проживает на дне океана^W^W^Wмежду mangle forward и filter forward? У меня есть конфигурация openvpn и конфигурация wireguard, с /24 подсетями, и натом из них в интернет. sysctl на интерфейсах одинаковые, за вычетом net.ipv6.conf.%i.stable_secret, правила в фаерволле одинаковые, форвардинг включен, правил роутинга нет. Тем не менее. Пакеты OpenVPN ходят в интернет и обратно заебись, а исходящие пакеты wireguard вылезают из интерфейса, лезут в фаерволл, едут до mangle filter и судя по -j LOG, после него теряются. https://pastebin.com/AxTMWrbH