iptables mark

м. б. iptables -t mangle -A OUTPUT ... -j MARK ....

Пробовал, но получается что помечаются и пакеты которые на выходе $IF1 и эти пакеты с адресом источника $IP1 перенаправляются на интерфейс $IF1. В итоге инета нет. Или я чего не так делаю ?

Может кто подскажет , как решить проблему , чтоб squid ходил в инет не через основной интерфейс (не через default gw eth2, а через eth1)?

ОШИБОЧКА, я написал вместо $IF2 $IF1. Вот исправлено:

Пробовал, но получается что помечаются и пакеты которые на выходе $IF1 и эти пакеты с адресом источника $IP1 перенаправляются на интерфейс $IF2. В итоге инета нет. Или я чего не так делаю ?

Может кто подскажет , как решить проблему , чтоб squid ходил в инет не через основной интерфейс (не через default gw eth2, а через eth1)?

tcp_outgoing_address в конфиге сквида не поможет?

можно метить пакеты которые идут от клиентов к сквиду. Т.е. пакеты которые идут на порт 3128

Благодарю !
tcp_outgoing_address решило проблему.

Но мне интересно, как можно решить проблему с помощью маршрутизации. Вдруг мне понадобится какой-то другой сервис (не squid) завернуть на определенный интерфейс ?

Я думаю метить пакеты идущие к squid не имеет смысла, squid же их не пересылает дальше, а сам посылает свои пакеты уже от себя.

Используйте "iptables -j ROUTE" - работает на 100%. А вот почему в таких случаях не получается с помощью обычной маршрутизации мне было бы тоже интересно узнать (почему при перемаршрутизации не хочет менять source IP).
P.S. Есть предположение (основанное на опыте), что advanced routing в linux-е конкретно глючит.

owner
This module attempts to match various characteristics of the packet
creator, for locally-generated packets. It is only valid in the OUTPUT
chain, and even this some packets (such as ICMP ping responses) may
have no owner, and hence never match.

--uid-owner userid
Matches if the packet was created by a process with the given
effective user id.


iptables -A OUTPUT -t mangle -m owner --uid-owner 89 -j MARK --set-mark 5
может быть так