Есть маршрутизатор (на CentOS) с 2 провайдерами. Настроено так, что обращение в Интернет может пойти как через isp1, так и через isp2. Есть пробросы с 10.0.0.2 на 192.168.1.2 и с 10.10.10.2 на 192.168.1.2, как отмаркировать трафик так, чтобы обратно обращение шло именно по маршруту, откуда было обращение, т.е. если обращение пришло на 10.10.10.2, уйти может через 10.0.0.2, как эту ситуацию исключить.
ip1 тестовый адрес хоста, с которого тестировались соединения с разных шлюзов
ip2 - 10.10.10.2
ip3 - 10.0.0.2
помогли такие правила:
#добавляем сохранения и восстановления марок
iptables -t mangle -I PREROUTING -j CONNMARK --restore-mark
iptables -t mangle -I POSTROUTING -j CONNMARK --save-mark
#устанавливаем марки при обращении я на определенные шлюзы
iptables -t mangle -A PREROUTING -s ip1 -d ip2 -j MARK --set-mark 1
iptables -t mangle -A PREROUTING -s ip1 -d ip3 -j MARK --set-mark 20
далее нужно создать 2 таблицы, по которым будут маршрутизироваться пакеты с соответствующими марками
Вам необходимо маркировать СОЕДИНЕНИЯ.
Это вполне можно сделать силами iproute2, ссылка для старта wiki.dieg.info/iptables#kriterij_connmark + статьи почитайте про настройку шлюзов с балансировкой.
Правильного решения не знаю.
В рамках бреда - натить (src-nat) входящий трафик на эти порты, тогда пакет будет возвращен в соответствии с таблицей NAT.
id2669099: отчасти, согласен. Но любая фильтрация должна пройти сперва на шлюзе, прежде чем этот трафик занатится. И попытки взлома контролировать с помощью того же fail2ban
