forwarding tunnel

Нужно чтобы на R2 был маршрут в 2.2.2.0/24 через tun1

ip r a 2.2.2.0/24 dev tun1 не помогает

но задача в принципе натить на внешний IP R2 (1.1.1.1) все приходящие от 2.2.2.0/24 но возвращаться пакеты с R2 должны уже через интернет, а не туннель

Все IP в схеме не серые, кроме туннеля.

Т.е. по сути R2 возвращать пакеты уже должен через свой default gw

Кстати «R1 tun1(10.99.0.2)–>R2 tun1(10.99.0.2)» видимо опечатка - адреса не должны совпадать.

но задача в принципе натить на внешний IP R2 (1.1.1.1) все приходящие от 2.2.2.0/24 но возвращаться пакеты с R2 должны уже через интернет, а не туннель

Это какой-то пипец. Ты пробовал прочитать то, что написал?

Ты хочешь получить асимметричный роутинг, когда пакеты из сети 2.2.2.0/24 натятся публичным адресом R1, но отправляются не по маршруту по умолчанию, а отправляется в туннель?

Соответственно назад он должен приходить напрямую на R2.

Где я написал натятся публичным R1 ?

я написал что сеть 2.2.2.0 должна натится на публичный R2

2.2.2.0/24->R1 tun1(10.99.0.2)–>tun1(10.99.0.1)–>NAT to 1.1.1.1–>gw-default

Обратно:

интернет –>default-gw(1.1.1.1) –> 2.2.2.0 уже без туннеля

да можно назвать ассиметричный роутинг

интернет –>default-gw(1.1.1.1) –> 2.2.2.0 уже без туннеля

т.е. пакет должен уйти снова через dgw.

Чтоб такое заработало скорее всего нужно отключить rp_filter.

И send_redirects желательно отключить.

Посмотри, чтоб правила фильтрации не дропали такие пакеты.

в таблице nat нужно сделать исключение для пакетов адресованных в сеть 2.2.2.0/24 через внешний интерфейс R2

В худшем случае "-j TRACE" в помощь.

Очень может быть, что обратный пакет может дропать оборудование провайдера.

Он получает от тебя пакет не из своей сети в сеть 2.2.2.0/24 - однозначно спуфинг!

нет всё правильно ты сказал, за что спасибо. включить ассиметричный роутинг отключением rp_filter на tun1 трафик попер в форвард и следовательно в построутинг, вот теперь с приходом этого ответки трафика надо побороться ) Но главное процесс сдвинулся

да и это тоже не работает поэтому, буду пинать провайдера.