DNAT с двух внешних интерфейсов на один внутренний

Получается ситуация, когда на входе имеем пакет вида «МИР -> router:25». Т.к. «МИР» - это любой внешний IP, то возникает проблема с ответными пакетами: почтовый сервер возвращает ответ, и после обратного NAT-а на router-е он превращается в «router:25 -> МИР». Вот в этом месте маршрутизатор и запутывается (точнее он запутывается ещё до отправки в локальную сеть, т.к. rp_filter выполняет проверку в виде маршрутизации обратного пакета и убивает пакет). Ему нужно как-то определить через какого провайдера слать пакет наружу.

Для того, чтоб всё работало нужно маркировать «соединения» - iptables -j CONNMARK, и на основе этих маркировок выполнять маршрутизацию. Также не забыть, что этот модуль делает ctmark (маркировку, которую хранит где-то у себя), а маршрутизационный код анализирует nfmark (маркировка, хранящаяся где-то в сопроводительных данных о пакете, ядро её помнит пока пакет не покинул пределы router-а), поэтому ctmark нужно всегда восстанавливать в nfmark.

Примерно так (!!! правила ориентировочные, могут сразу не работать):

# МИР -> router

# восстановить маркировку (ctmark -> nfmark)
iptables -t mangle -A PREROUTING -j CONNMARK --restore-mark
# пакет промаркирован ? да - выйти
iptables -t mangle -A PREROUTING -m mark ! --mark 0 -j RETURN
# нет - это первый пакет нового соединения, промаркировать
iptables -t mangle -A PREROUTING -i ens224 -j CONNMARK --set-xmark 0x30
iptables -t mangle -A PREROUTING -i ens256 -j CONNMARK --set-xmark 0x50
# и закинуть в nfmark
iptables -t mangle -A PREROUTING -j CONNMARK --restore-mark


# локальная сеть -> МИР

iptables -t mangle -A POSTROUTING -j CONNMARK --restore-mark
iptables -t mangle -A POSTROUTING -m mark ! --mark 0 -j RETURN
iptables -t mangle -A POSTROUTING -o ens224 -j CONNMARK --set-xmark 0x30
iptables -t mangle -A POSTROUTING -o ens256 -j CONNMARK --set-xmark 0x50
# маршрутизация уже выполнена, restore-mark делать не нужно

ip rule add pref 10 to 10.0.1.1/24 table main
ip rule add pref 20 fwmark 0x30 table 30
ip rule add pref 30 fwmark 0x50 table 50

sysctl net.ipv4.conf.ens224.rp_filter=0
sysctl net.ipv4.conf.ens256.rp_filter=0

Надеюсь общая идея ясна.
POSTROUTING-правила возможно избыточны, можно попробовать без них.
Вообще подобные вещи можно искать в google по словам multihomed routing.

Спасибо! В принципе, все заработало после установки

net.ipv4.conf.ens224.rp_filter=2
net.ipv4.conf.ens256.rp_filter=2

iptables -t mangle -A POSTROUTING -o ens224 -j CONNMARK --set-xmark 0x30

На построуте connmark ? Это вообще зачем простите?

ip rule add pref 10 to 10.0.1.1/24 table main
10.0.1.1/24

Потрясающе.

На построуте connmark ? Это вообще зачем простите?

А где вы предлагаете маркировать пакеты, идущие в мир ? Нам нужно знать через какого провайдера будет выход, т.е. output интерфейс.
Транзитный трафик пройдёт через mangle FORWARD -> POSTROUTING, локальный (от самого маршрутизатора) - через mangle OUTPUT -> POSTROUTING.
Значит имеем либо один набор правил в POSTROUTING, либо 2 набора - FORWARD + копия в OUTPUT, к чему избыточность ?
В случае автора, как я уже говорил, подобное направление можно и не обрабатывать. Тут главное помнить, что соединения могут устанавливаться в обоих направлениях, а для порядка лучше маркировать, начиная с первого пакета, а не с середины.

Вас не смущает в название POSTROUTING приставка POST ?
Транзитные и входящие локальные маркируются в mangle PREROUTING
Локальные исходящие в mangle OUTPUT

Правила POSTROUTING действительно не понадобились, все работает без них. В остальном все ок, еще раз спасибо за помощь.