Помогите настроить GRE туннель

выключи нат, например, зачем он?

Тогда ещё надо будет на стороне А сервера метить все соединения из тоннеля чтобы ответ шёл обратно через тоннель.

Пока писал заметил, что MASQUERADE правило слишком общее, по идее достаточно только для исходящего трафика

Возможно, но полвторого и я бух.

-- А 
ip tunnel del gre1
ip tunnel add gre1 mode gre remote ??.??.216.226 local ??.??.27.194 dev eno1
ip addr add 10.0.0.1 peer 10.0.0.2 dev gre1
ip link set gre1 up

-- Б
ip tunnel del gre1
ip tunnel add gre1 mode gre remote ??.??.27.194 local ??.??.216.226 dev eth0
ip addr add 10.0.0.2 peer 10.0.0.1 dev gre1
ip link set gre1 up

Вот как раз с этим и столкнулся. Такая конфигурация помогает получить пакеты с реальным IP, но вот как отправлять их обратно ума не приложу…

На правах отходящего ко сну, кастану толкового бро, anc.

https://www.lartc.org/howto/lartc.rpdb.html

Слабо понимаю как все же сделать отправку трафика обратно. Можете дать конкретный пример для моего случая?

ip rule add from 10.0.0.1/32 table 1000
ip rule add to 10.0.0.1/32 table 1000
ip route add default dev gre1 table 1000

И программа должна bind()’ится на 10.0.0.1.

Зачем это правило?:

ip rule add to 10.0.0.1/32 table 1000

И программа должна bind()’ится на 10.0.0.1.

У ТС'а просто tcp сервер слушает, ему не нужно про такое страшное знать :) Это если ТС уберёт и default таблице маршрут до 10.0.0.2, то тогда, чтобы его пингануть, нужно будет ″ping -I 10.0.0.1 10.0.0.2″.

Важнее проверть, что rp_filter выключен на gre-тунеле.

В обычной ситуации оно ни разу не сработает

Да, наверное, вы правы. Я мыслю транзитным трафиком.

У ТС’а просто tcp сервер слушает, ему не нужно про такое страшное знать :)

Без bind прослушивающего сокета на адрес не сработает: ответные пакеты в общем случае будут отправляться с IP-адреса и интерфейса default route main-таблицы. В линуксе же weak host model. Без bind у них будет src addr условно 0.0.0.0, а не тот, что попадает под rule.

Все проблемы можно элегантно решить bind’ом только на интерфейс (либо на адрес+интерфейс), это самый простой способ, не требующий раздельных таблиц маршрутизации и правил, но немногие программы это поддерживают, поэтому приходится городить.

Да, наверное, вы правы. Я мыслю транзитным трафиком.

Хотя нет, я теперь сомневаюсь :D

Если не ошибаюсь, эта запись матчится, и как раз позволяет принимать пакеты без дополнительной настройки rp_filter (без его отключения). Но могу ошибаться, давно не проверял.

src addr условно 0.0.0.0

Не помню такого. Демон, слушающий tcp 0.0.0.0 спокойно продолжал работать при PBR, ничего в коде менять не приходилось. Если бы udp, или если бы программа создавала соединение, то да, нужен bind() (указание src-адреса), а в случае ответа на tcp, ЕМНИП, автоматически src-адрес SYN-ACK пакета это dst SYN.

решить bind’ом только на интерфейс

Чего тут элегантного? Программа должна постоянно следить за списком интерфейсов.

Коллеги, тут про VPN рассказывают! Прокуроры едут!

Все работает, всем спасибо :)