Всем привет! Помогите разобраться с роутером на виртуалке под KVM. На сервере стоит CentOS Linux release 7.2.1511 (Core) с последними обновлениями, при установке выбирал вариант хост виртуализации. Есть 4 сетевые карты enp3s0 - lan 192.168.0.20, enp4s0 - lan, enp5s2 - internet1, enp5s3 - internet2.

Виртуалку настраивал через virt-manager ,стоит Ubuntu 14.04.5 LTS обновлённая, есть 3 стевые карты (драйвер virtio): eth0 (режим bridge на enp3s0) - lan 192.168.0.19, eth1 (режим passthrough на enp5s2) - internet1 212.XXX.XXX.XXX, eth2 (режим passthrough на enp5s3) - internet2 217.XXX.XXX.XXX. Стоит OpenVPN 2.3.2-7ubuntu3.1 с интерфейсом tun0 10.1.1.1, раздаётся интернет в локальную сеть. Не получается пробросить RDP 3389 на сервер в локальной сети, пытался черезе vpn (10.1.1.1) пробросить и напрямую с внешнего ip 217.XXX.XXX.XXX, никак не получается.

iptables-save

# Generated by iptables-save v1.4.21 on Fri Dec 2 14:11:16 2016 *mangle

:PREROUTING ACCEPT [68:5793]

:INPUT ACCEPT [68:5793]

:FORWARD ACCEPT [0:0]

:OUTPUT ACCEPT [35:3300]

:POSTROUTING ACCEPT [35:3300]

-A PREROUTING -s 192.168.0.0/24 -j MARK --set-xmark 0x2/0xffffffff

COMMIT

# Completed on Fri Dec 2 14:11:16 2016

# Generated by iptables-save v1.4.21 on Fri Dec 2 14:11:16 2016

*filter

:INPUT ACCEPT [28:3029]

:FORWARD ACCEPT [0:0]

:OUTPUT ACCEPT [55:5620]

-A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT

-A INPUT -i eth0 -p icmp -j ACCEPT

-A INPUT -i tun0 -p icmp -j ACCEPT

-A INPUT -i lo -j ACCEPT

-A INPUT -i eth1 -p udp -m conntrack --ctstate NEW -m udp --dport 1194 -j ACCEPT

-A INPUT -i eth2 -p udp -m conntrack --ctstate NEW -m udp --dport 1194 -j ACCEPT

-A INPUT -i eth0 -p tcp -m conntrack --ctstate NEW -m tcp --dport 22 -j ACCEPT

-A INPUT -i eth0 -p tcp -m conntrack --ctstate NEW -m tcp --dport 10000 -j ACCEPT

-A INPUT -i eth0 -p tcp -m conntrack --ctstate NEW -m tcp --dport 10050 -j ACCEPT

-A INPUT -i tun0 -p tcp -m conntrack --ctstate NEW -m tcp --dport 22 -j ACCEPT

-A INPUT -i tun0 -p tcp -m conntrack --ctstate NEW -m tcp --dport 10000 -j ACCEPT

-A INPUT -i eth1 -j DROP

-A INPUT -i eth2 -j DROP

-A FORWARD -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT

-A FORWARD -p icmp -j ACCEPT

COMMIT

# Completed on Fri Dec 2 14:11:16 2016

# Generated by iptables-save v1.4.21 on Fri Dec 2 14:11:16 2016

*nat

:PREROUTING ACCEPT [14:1536]

:INPUT ACCEPT [14:1536]

:OUTPUT ACCEPT [0:0]

:POSTROUTING ACCEPT [0:0]

-A PREROUTING -d 217.XXX.XXX.XXX/32 -p tcp -m tcp --dport 3389 -j DNAT --to-destination 192.168.0.11:3389

-A PREROUTING -d 10.1.1.1/32 -p tcp -m tcp --dport 3389 -j DNAT --to-destination 192.168.98.0:3389

-A POSTROUTING -o eth1 -j MASQUERADE

-A POSTROUTING -o eth2 -j MASQUERADE

-A POSTROUTING -o tun0 -j MASQUERADE

-A POSTROUTING -m mark --mark 0x1 -j SNAT --to-source 212.XXX.XXX.XXX

-A POSTROUTING -m mark --mark 0x2 -j SNAT --to-source 217.XXX.XXX.XXX

COMMIT

# Completed on Fri Dec 2 14:11:16 2016

iptstate -d 10.1.1.1

IPTState - IPTables State Top

Version: 2.2.5 Sort: SrcIP b: change sorting h: help Filters: dst: 10.1.1.1

Source Destination Prt State TTL

10.1.1.6:39674 10.1.1.1:3389 tcp SYN_SENT 0:01:53

tcpdump -i tun0

tcpdump: verbose output suppressed, use -v or -vv for full protocol decode

listening on tun0, link-type RAW (Raw IP), capture size 65535 bytes

14:44:38.455458 IP 10.1.1.6.39675 > 10.1.1.1.3389: Flags S, seq 3473071785, win 65535, options [mss 1352,sackOK,TS val 36686062 ecr 0,nop,wscale 6], length 0

14:44:39.448837 IP 10.1.1.6.39675 > 10.1.1.1.3389: Flags S, seq 3473071785, win 65535, options [mss 1352,sackOK,TS val 36686162 ecr 0,nop,wscale 6], length 0

14:44:41.449791 IP 10.1.1.6.39675 > 10.1.1.1.3389: Flags S, seq 3473071785, win 65535, options [mss 1352,sackOK,TS val 36686363 ecr 0,nop,wscale 6], length 0

14:44:45.471728 IP 10.1.1.6.39675 > 10.1.1.1.3389: Flags S, seq 3473071785, win 65535, options [mss 1352,sackOK,TS val 36686764 ecr 0,nop,wscale 6], length 0

4 packets captured 4 packets received by filter 0 packets dropped by kernel

Что я делаю не так?