Есть маршрутизатор, на нем настроена iptables для выхода в инет. Два интерфейса: внутренний и внешний. Всё нормально работает. Требуется с помощью этого же маршрутизатора направлять часть компов через прокси в параллельной локалке, если этот прокси указан у них в настройке, маскируя их ip из первой сети под ip маршрутизатора из второй.
Сеть 1:
192.168.0.1/24
шлюз: 192.168.0.1
Сеть 2:
192.168.1.1/24
шлюз: 192.168.1.50
прокси: 192.168.1.101
Всё это физически в одной сетке.
На маршрутизаторе поднимаю второй ip на внутреннем интерфейсе:
iface eth0:0 inet static
address 192.168.1.213
netmask 255.255.255.0
Скрипт для iptables такой:
#!/bin/bash
echo "1" > /proc/sys/net/ipv4/ip_forward
echo "1" > /proc/sys/net/ipv4/ip_dynaddr
modprobe iptable_nat
modprobe ip_conntrack_ftp
modprobe ip_nat_ftp
export IPT="iptables"
export WAN=eth1
export LAN=eth0
export LAN_IP_RANGE=192.168.0.0/24
export LAN0=eth0:0
export LAN0_IP_RANGE=192.168.1.1/24
$IPT -F
$IPT -F -t nat
$IPT -F -t mangle
$IPT -X
$IPT -t nat -X
$IPT -t mangle -X
$IPT -P INPUT DROP
$IPT -P OUTPUT DROP
$IPT -P FORWARD DROP
$IPT -A INPUT -i lo -j ACCEPT
$IPT -A INPUT -i $LAN -j ACCEPT
$IPT -A OUTPUT -o lo -j ACCEPT
$IPT -A OUTPUT -o $LAN -j ACCEPT
$IPT -A OUTPUT -p all -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
$IPT -A FORWARD -p all -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
$IPT -I FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu
$IPT -A INPUT -m state --state INVALID -j DROP
$IPT -A FORWARD -m state --state INVALID -j DROP
$IPT -A INPUT -p tcp ! --syn -m state --state NEW -j DROP
$IPT -A OUTPUT -p tcp ! --syn -m state --state NEW -j DROP
$IPT -A FORWARD -i $LAN -o $WAN -j ACCEPT
$IPT -A FORWARD -i $WAN -o $LAN -j REJECT
$IPT -t nat -A POSTROUTING -o $WAN -s $LAN_IP_RANGE -j MASQUERADE
$IPT -A FORWARD -i $LAN -o $LAN0 -j ACCEPT
$IPT -t nat -A POSTROUTING -o $LAN0 -s $LAN_IP_RANGE -d $LAN0_IP_RANGE -j MASQUERADE
$IPT -A FORWARD -i $WAN -o $LAN0 -j REJECT
...
# ip route
default via 10.3.3.1 dev eth1
10.3.3.0/26 dev eth1 proto kernel scope link src 10.3.3.2
192.168.0.0/24 dev eth0 proto kernel scope link src 192.168.0.1
192.168.1.0/24 dev eth0 proto kernel scope link src 192.168.1.213 Причем на ресурсы сети 2 из 1 я могу зайти. Пингуется прокси, но не пускает. Возможно подключение всё же идет напрямую а не через шлюз.
Подскажите пожалуйста, как правильно реализовать задуманное.
