прозрачное натирование 1:1

Сам не использовал, но предполагаю, что тебе надо добавить правило RAWDNAT/RAWSNAT для icmp-ttl-exceeded и icmp-port-unreachable.

И, кстати, для каких целей RAWNAT вообще может пригодиться?

например?

Я подозревал, что имея RAWDNAT/RAWSNAT в правилах, ты сможешь написать дополнительные правила сам :-/

Читай ман iptables-extensions на предмет матчинга icmp (-m icmp), про типы можешь почитать в соответствующем RFC, также можешь погуглить подробное описание трейсроутинга для полноты картины.

Ну или переходи на DNAT/SNAT, RAWNAT'а уже нет в апстриме

anonymous прав - RAWDNAT/RAWSNAT давно никем не используются и работоспособность их под большим вопросом. Тем более, что есть NETMAP.

Если хочется stateless NAT, то оно есть в свежих ядрах со свежим iproute2

о, спасибо, буду пробовать занатить с помощью iproute2. rawnat вроде как еще живой в xtables-addons

iproute2 могучий инструмент, но если не врет мой склероз у него задаччи маршрутизации и НАТами он не заведует.

судя по манам, он натировать умеет

[root@masq-gw]# ip route add nat 205.254.211.17 via 192.168.100.17
[root@masq-gw]# ip rule add nat 205.254.211.17 from 192.168.100.17

Склероз сыграл злую шутку, прости.

А расскажите поподробней, пожалуйста.

Года три назад использовал именно RAWSNAT/RAWDNAT и ct --notrack. Что сейчас для этого используют, iproute2 nat? С какого ядра он работает? Раньше он точно был неработоспособен.

Его починили год или 2 назад, а до этого оно долгое время не работало и его объявили deprecated в 2.6

в 3.14,3.12,3.10,3.4 оно есть

У меня в закладках такая инфа

# eth0 is public(WAN) interface
tc qdisc add dev eth0 ingress
tc filter add dev eth0 parent ffff: protocol ip prio 10 u32 match ip dst 192.168.10.15/32 action nat ingress 192.168.10.15/32 192.168.0.130

# eth1 is "internal"(LAN) interface
tc qdisc add dev eth1 ingress
tc filter add dev eth1 parent ffff: protocol ip prio 10 u32 match ip src 192.168.0.130/32 action nat egress 192.168.0.130/32 192.168.10.15

Через tc? Как-то не очень мне нравится, но спасибо.

init_ Не зря эту поделку RAWNAT не взяли в ядро - автор поленился дописать поддержку icmp

ну оно работает главное... 2 года полет нормальный, только вот напрягает то что icmp хз как работает и диагностику особо толком не проделаешь

Хм, когда я настраивал года 3 назад, ICMP у меня точно работал. Я делал именно 1-1 mapping без conntrack.

http://toster.ru/q/14222#comment_70540

а можно поподробнее про CT --notrack? Оно у вас совместно с правилами RAWSNAT/DNAT работало?

Да, именно так. Почему-то в RAW-таблице conntrack все равно матчил соединения, а мне это было не нужно, вот я его так и отключал.

через tc не сканало, может что сделал неправильно. В итоге сделал через NETMAP, а RAWNAT и правда выпилили из xtables :( на NETMAP трассировки работают. правда в нагрузках еще не тестил