Помогите разобраться с маркировкой пакетов в Nftables

подобные вещи обычно решают blackhole маршрутами

А можно поподробнее?

Кажется понял что имеется в виду. Но в данный момент не нравится такой вариант. У меня не отдельные сети а набор разных ИП адресов. Не хочется засорять ими таблицу маршрутизации.

Кажется что правило в фаерволе выглядит элегантней.

Сейчас в таблице маршрутизации есть одно правило

root-> ip route show table vpn
default via 10.8.0.9 dev tun1

Когда впн соединение рвется дефолтный маршрут пропадает и все трафик начинает идти по главной таблице.

Если бы это был микротик то я бы добавил маршрут 0.0.0.0/0 в блекхол с более высоким дистансом. Но в линуксе как я понял нельзя добавить 2 дефолт маршрута. Получается для каждого отдельного ип нужно делать свой маршрут в блекхол? Или есть какой то еще вариант? Кажется что должен быть простой вариант но не могу его найти.

Чисто теоретически, я бы попробовал сделать 2 правила

ip ru add prio 1000 fwmark 1 unicast table 30
ip ru add prio 1001 fwmark 1 unicast table 31

В таблицу 30 добавляем dgw через vpn если он поднят.

Ну и настоятельно рекомендуется для транзитных пакетов маркировать их в таблице mangle/prerouting т.е. до routing decision (https://inai.de/images/nf-packet-flow.svg).

Ну и настоятельно рекомендуется для транзитных пакетов маркировать их в таблице mangle/prerouting

Да у меня так.

        chain vpn1 {
                type filter hook prerouting priority mangle
                policy accept;
                ip daddr @vpn1 counter ct mark set 0x1
                ip daddr @vpn1 counter meta mark set ct mark

В таблицу 31 добавляем блекхол.
В таблицу 30 добавляем dgw через vpn если он поднят.

Спасибо. Все отлично сработало. Оставлю такой вариант. Но все равно надеюсь что кто то подскажет с маркировкой пактов в фаерволе на будущее.

Если бы это был микротик то я бы добавил маршрут 0.0.0.0/0

Вместо одного маршрута 0.0.0.0/0 можно добавить два - 0.0.0.0/1 и 128.0.0.0/1

Если маршрут добавляется скриптом, то да.

(Я правда сомневаюся, что ovpn умеет добавлять dgw не в main.)

В смысле «подсказать про маркировку пакетов»?

Можно маркировать пакеты, можно маркировать соединение (ct).

Для большенства проверок используется марка пакета.

Маркировка соединения нужна обычно для маркировки ответных пакетов.

IMHO В твоём варианте достаточно было «meta mark set 0x1»

У меня как раз скрипт который рулит маршрутами. Вариант с дополнительной таблицей пока нравится, так что остановлюсь на нем.

Можно маркировать пакеты, можно маркировать соединение (ct).

В этом я и запутался. Спасибо за ответы.

Спасибо. Даже в голову не пришло разбить таким способом.