iptables redirect nat

[tartila]

Добрый день.

 

Господа, возник интересный вопрос. Правило redirect в iptables работает только в таблице nat, что и понятно... Но я по прежнему хочу каким нибудь хитрым способом клиентам выдавать инфо страничку клиентам (у меня нет NAT), когда они напарываются на запрещенный РСоКом сайт. Сейчас тупо DROP или REJECT. А хотелось бы красоты :)

 

p.s. Понимаю, что практически не вероятно... Но мало ли.

[Abram]

Т.е. сейчас у вас nat нет вообще и вы не хотите его добавлять?

Тогда так:

-t raw -A PREROUTING -матч-закрытых-адресов -j ACCEPT
-t raw -A PREROUTING -j NOTRACK

Тогда у вас в conntrack попадут только нужные адреса. NAT будет, но только там, где надо.

[kapa]

маркировать и роутить iproute2?

[tartila]

Т.е. сейчас у вас nat нет вообще и вы не хотите его добавлять?

Тогда так:

-t raw -A PREROUTING -матч-закрытых-адресов -j ACCEPT
-t raw -A PREROUTING -j NOTRACK

Тогда у вас в conntrack попадут только нужные адреса. NAT будет, но только там, где надо.

 

Не хотелось бы вводить conntrack ни в коем случае... :)

 

маркировать и роутить iproute2?

 

Примерчик можно?

[kapa]

маркировать и роутить iproute2?

 

Примерчик можно?

мутно уже это всё.

нужно гуглить по

...-t mangle -j MARK --set-mark ...

потом помеченное пихать в табличку и табличку зароучивать.

[^rage^]

Не хотелось бы вводить conntrack ни в коем случае... :)

он появляется только для адресов, что попадают в список роскомнадзора. в остальном все будет работать как без conntrack.

[Abram]

tartila,

Если просто (=надежно), то conntrack с -j NOTRACK.

PBR-ом мутно как-то получается, да и все равно нужно роутить куда-нибудь на другой тазик с NAT (REDIRECT).