POSTROUTING Теряется реальный IP, какие есть вариаты решений?

Question

[486dx]

Из интернета Client public IP xxx.xxx.xxx.xxx ---> (91.91.91.91 VPN 10.8.0.1) ---> (PFsense 192.168.10.1 VPN 10.8.0.1) ---> 192.168.10.39 (server)

Нужно прокинуть десяток портов типа 44, 77, 11, 1000. Не в интервале 44-1000!

на 91.91.91.91 используется POSTROUTING PREROUTING. Соединение устанавливается нормально. Но 192.168.10.39 не видит Client public IP а он необходим!

Вариатны MARK CONMARK не работают.
Есть мысль прокинуть прокси тунель через это все дело от 91.91.91.91 до 192.168.0.39 но не соображу как. Socat пробовал он ошибку выдал.

Проблема не редкая судя по гуглу но ясных успешных решений не нашел.

Answer 1

[Drno]

и не увидит.. либо надо использовать протокол с поддержкой передачи IP, и это должен уметь и клиент и сервер

Comments

[Петровский]

а разве DNAT меняет адрес источника?

Answer 2

[Disel0k]

Если сервер будет видеть внешний IP он и отвечать на него будет, а зачем тогда VPN? завернуть маршрут до него в впн, но тогда зачем видеть внешний IP? в целом на PFыутсу ни кто не мешает SRCNAT и навесить любой адрес какой захотите и даже в обратку завернуть на внутренний через DSTNAT все что летит на внешний. Но в целом звучит как попытка разрулить последствия неправильного подхода к решению изначальной задачи, а не попытка решить изначальную задачу. Может стоит посмотреть например на IPSec. или поделиться изначальным условием задачи

Answer 3

[agpecam]

Теоретически возможно, если прописать (91.91.91.91 VPN 10.8.0.1) в качестве default gateway для pfSense. На 91.91.91.91 прописываете маршрут в 192.168.10.0/24 через удаленный IP тунеля 10.8.0.1??? - чего это, кстати, они у вас на обоих концах одинаковые? Далее делаете DNAT 91.91.91.91 -> 192.168.10.39, а на pfSense просто разрешаете этот трафик