Перенаправить локальный трафик (IMAP/HTTP) соединения по другому маршруту в Ubuntu?

куда установить net.ipv4.conf.all.rp_filter=2?

/etc/sysctl.conf и прочитать man и применить изменения, и лучше ″=0″, а не ″=2″.

net.ipv4.conf.all.rp_filter = 0

это настройка параметров ядра, пишется либо сразу в procfs

echo 0 > /proc/sys/net/ipv4/conf/all/rp_filter

либо пишется отдельной строкой в /etc/sysctl.conf, затем sysctl -p

возможно, как раз reverse path filter не пущат - пакеты через счетчик интерфейса проходят, а опосля происходит проверочка, и дропаются. В таком случае действительно нужен snat, но prerouting или postrouting - не помню, поэкспериментируй. А rp_filter лучше не отключать - как-никак защита от ддосов и прочих мерзостей.

а опосля происходит проверочка, и дропаются. В таком случае действительно нужен snat,

И как snat поможет пройти проверку rp_filter'а, если он меняет другой ip-адрес, чем проверяемый при reverse path filtering?

В первом приближении вроде все правильно. Единственно вот здесь ip rule add fwmark 0x2/0x2 lookup 100 я не знаю что такое lookup но надеюсь тоже самое что и table, да и маска просто не нужна. Я бы написал ip rule add fwmark 0x2 table 100, но вроде ваш вариант тоже самое.
Возможно у вас другие правила влияют. Попробуйте запустить tcpdump -i any port 995 что бы посмотреть на всех интерфейсах.

РЕШЕНО! Огромное спасибо за советы! Действительно нужно было разрешить переадресацию и отключить фильтры в ядре:

/etc/sysctl.conf:

net.ipv4.conf.default.rp_filter=0 net.ipv4.conf.all.rp_filter=0 net.ipv4.conf.eth0.rp_filter=0 net.ipv4.ip_forward=1 net.ipv4.conf.all.force_igmp_version=2

Сейчас уже поэкспериментирую с «/etc/sysctl.conf и прочитать man и применить изменения, и лучше ″=0″, а не ″=2″.» Главное, что заработало с отключеной фильтрацией - дальше разберусь. Спасибо всем за активное участие! Размещал запрос еще на 2 профильных форумах - дельных советов не дали.

В итоге чтобы все заработало нужно было только изменить знаение net.ipv4.conf.all.rp_filter=2 (по дефолту стоит 1). Все остальное не менял.

Камрады, подскажите пожалуйста как запретить трафик на удаленный порт 443 через интерфейс eth0? Команда iptables -A OUTPUT -o eth0 -p tcp --dport 443 -j DROP отлично с этим справляется, но она так же убивает трафий через интерфейс ppp2. Это все с учетом всего вышенаписаного - что у меня трафик на порт 443 перебрасывается на маршрут с ppp2:

# ip route add default via 192.168.10.1 table 202
# iptables -t mangle -A OUTPUT -p tcp -m tcp --dport 995 -j MARK --set-mark 0x3
# iptables -t nat -A POSTROUTING -o ppp2 -j MASQUERADE
# ip rule add fwmark 0x3/0x3 lookup 202

Не совсем понятно почему у вас «443 перебрасывается на маршрут с ppp2» речь же шла про 80 и 995. Если вы так же и 443-й отправили на ppp2 тогда у вас и так с eth0 уходить не будет. Вобщем не совсем понятна задача.

Прошу прощения - экспериментирую с разными портами. На 443 нагляднее мониторить в броузере. «Если вы так же и 443-й отправили на ppp2 тогда у вас и так с eth0 уходить не будет.» Все верно, но это VPN и он может иногда падать. Так же тогда стираеться его дефолтный маршрут.Задачу решил так: Добавил в таблицу правил почти в самом конце такое правило:

#ip rule add fwmark 0x2/0x2 blackhole pref 32765

# ip rule
0:      from all lookup local
30201:  from 192.168.50.2 lookup lanet1
30202:  from all fwmark 0x2/0x2 lookup usa2redir
32765:  from all fwmark 0x2/0x2 blackhole
32766:  from all lookup main
32767:  from all lookup default

Оригинально :) Хоть и не отвечает полностью формулировке задачи (не пускать именно через eth0) но полностью решает вашу задачу.
Еще можно было через iptables
-t mangle -A POSTROUTING -o eth0 -p tcp --dport 443 -m mark --mark 0x3 -j DROP
Или если до этого в OUTPUT маркировать эти пакеты отдельно например 0x4 то можно и без -p tcp --dport 443

anc, большое спасибо за совет! Ваш вариант самый правильный и феншуйный))) Вчера не догадался применить mangle к цепочке POSTROUTING. Пробовал к OUTPUT.