Isso parece me dizer que tudo o que você precisa fazer é adicionar uma regra de mascaramento extra à cadeia CUSTOMPOSTROUTING.
iptables -t nat -A CUSTOMPOSTROUTING -o <dev-of-10-network> -j MASQUERADE
Eu encontrei-me em um pickle substituindo um firewall antigo por um cliente esta tarde. Estou configurando seu novo firewall IPCop (1.4.21), o addon Zerina OpenVPN está instalado.
O que eu preciso fazer: Existem três interfaces de rede, configuradas atualmente como vermelho (WAN), verde (LAN, 192.168.20.0/24) e laranja (rede remota 10.1.20.0/24). A interface laranja é um link direto de fibra para outra organização.
Descrição simples: Tráfego e redes parecem estar configurados corretamente neste momento, mas eu tenho muitos (150+) IPs específicos na LAN que, ao acessar os recursos na rede 10.1.20.x, precisam ser mutilados parece vir da rede 10.1.20.0/24 (e devolver o tráfego corretamente entregue). O roteamento no lado remoto foi configurado anteriormente e deve funcionar bem, mas preciso redirecionar todos os pacotes que se destinam a esses IPs para que eles cheguem ao destino certo.
O endereçamento é fixo e previsível (por exemplo, 192.168.20.125 - > 10.1.20.125). Eu preciso inserir quaisquer regras que eu tenho no conjunto de regras IPCop através de /etc/rc.local eu sei, eu só não tenho certeza sobre como eu deveria estruturar isso. Há alvos CUSTOMOUTPUT e CUSTOMINPUT, ambos que atualmente consistem apenas na regra única redirecionando pacotes para os destinos OVPNOUTPUT / OVPNINPUT, portanto, suponho que devo inserir uma regra combinando pacotes de saída destinados à rede 10.1.20.xe redirecionando para um novo alvo (talvez chamado TO-ORANGE) e uma regra no topo do CUSTOMINPUT que redireciona para um destino FROM-ORANGE. Sob esses alvos, eu teria regras que fazem o IP correspondente e mangling.
Estou me aproximando disso certo? Se assim for, eu não estou muito familiarizado com mangle, e gostaria de ver exemplos de como escrever essa reescrita de IP de origem. Se não, como você sugeriria fazer isso?
TIA!
edite: eu noto que a tabela nat tem os alvos CUSTOMPREROUTING e CUSTOMPOSTROUTING, eu acho que poderia alternativamente postar as regras lá ...
Isso parece me dizer que tudo o que você precisa fazer é adicionar uma regra de mascaramento extra à cadeia CUSTOMPOSTROUTING.
iptables -t nat -A CUSTOMPOSTROUTING -o <dev-of-10-network> -j MASQUERADE