Маршрутизация трафика Debian

тут либо iproute2 юзать, либо нат с форвардингом

Вариант через nat не подходит, надо что бы через туннель приходил реальный ип адрес клиента который обращается на 22.22.22.22.

Почему не подходит? dnat меняет только адрес назначения. Далее если у сервер2 defgw свой, то при получении пакета через тунель маркируем соединение, потом при ответе восстанавливаем марк и используя iproute2 ip rule отправляем обратно в тунель.

iproute2 используется для туннеля, пробовал через него сделать маршрутизацию на туннель но не получилось

Конкретней можно пожалуйста реализацию

То что я описал вполне рабочее. Но тут подумал что я усложняю в части маркировки.
1. сервер1 входящий на ip 22.22.22.22 dnat на 10.0.0.2
2. сервер2 все что от ip 10.0.0.2 оправляем iproute2 в туннель

nat не подходит, надо что бы через туннель приходил реальный ип адрес клиента который обращается на 22.22.22.22.

Действие DNAT не изменяет src ip пакета.

Через iptables nat к сожалению не подходит, надо через iproute2

Через iptables nat к сожалению не подходит, надо через iproute2

Что значит «не подходит»? И что значит «надо»? Мы ходим по кругу.

На первом сервере есть несколько белых ип адресов, когда трафик приходит на определённый белый ип (22.22.22.22) он должен уходить через туннель

Если адрес 22.22.22.22 первому серверу не нужен, то поднимите туннель так, чтобы адрес 22.22.22.22 выдавался второму серверу с proxy-arp. Тогда никакой nat и iproute2 не будет нужен, а всё будет работать само.

Через iptables nat я сделал, работает, но из за того что nat правила обрабатываются раньше filter таблицы вариант через iptables не подходит.

адрес 22.22.22.22 первому серверу предназначен исключительно что бы через него передавать трафик на сервер 2

адрес 22.22.22.22 первому серверу предназначен исключительно что бы через него передавать трафик на сервер 2

Ну то есть ответ положительный и так как я сказал работать будет.

но из за того что nat правила обрабатываются раньше filter таблицы вариант через iptables не подходит

Я ничего не понял. Причем тут filter ? Поясните пожалуйста.

Спасибо, почитаю о proxy-arp.

iptables (8) man
Существует 4 вида таблиц:
filter (default)
nat
mangle
raw
iptables nat обрабатывает раньше чем filter
Если будут правила для dst ip 22.22.22.22 в таблице filter но в nat таблице dst ip поменяю на 10.0.0.2 то правила в таблице filter для ip 22.22.22.22 не обработаются.

iptables nat обрабатывает раньше чем filter

И раньше и позже. Внимательно курим документацию.
Но вы видимо хотели сказать только про цепочку prerouting. Так вот теперь, зачем вам правила 22.22.22.22 в filter если вы сами знаете что поменяли на 10.0.0.2 ? Второе, фильтровать никто не запрещает и в цепочках выше например в prerouting.
Так что виноват не iptables, а исключительно ваши «ручки» и «голова».

Я думал когда Вам отвечал над этим вариантом, надо попробовать.

И таки после dnat prerouting происходит routing decision, так что тоже надо знать в какую цепочку в таблице filter попадет.