Почему подставляет неправильный source ip при использовании policy-routing?

Question

[jzyken]

Пытаюсь пустить трафик конкретного пользователя мимо VPN таким способом:

1. Помечаю
   

   iptables -t mangle -A OUTPUT -m owner --uid-owner 1001 -j MARK --set-xmark 0xaaa

   
   
2. Создаю правило
   ip rule add fwmark 0xaaa table torrent
   
3. Наполняю таблицу маршрутизации
   

   ip route add default via 192.168.0.1 dev enp2s0 src 192.168.0.125 table torrent
   ip route add 192.168.0.0/24 dev enp2s0 table torrent

   
   

И всё вроде должно работать, трафик не уходит в tun0, но пакеты почему-то идут с src ip от VPN.
Где я ошибся, что не учёл, подскажите, пожалуйста?

Comments

[Wexter]

вывод iptables-save покажите

[jzyken]

Wexter, голенький:

# Generated by iptables-save v1.6.0 on Fri Oct 20 03:34:12 2017
*nat
:PREROUTING ACCEPT [36600:10738573]
:INPUT ACCEPT [508:88888]
:OUTPUT ACCEPT [33236:7438108]
:POSTROUTING ACCEPT [33236:7438108]
COMMIT
# Completed on Fri Oct 20 03:34:12 2017
# Generated by iptables-save v1.6.0 on Fri Oct 20 03:34:12 2017
*mangle
:PREROUTING ACCEPT [1884558:1495540255]
:INPUT ACCEPT [1848511:1485003230]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [1744332:1246508180]
:POSTROUTING ACCEPT [1745048:1246623936]
-A OUTPUT -m owner --uid-owner 1001 -j MARK --set-xmark 0xaaa/0xffffffff
COMMIT
# Completed on Fri Oct 20 03:34:12 2017
# Generated by iptables-save v1.6.0 on Fri Oct 20 03:34:12 2017
*filter
:INPUT ACCEPT [4953268:5694985928]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [3324182:1484725175]
COMMIT
# Completed on Fri Oct 20 03:34:12 2017

[Wexter]

jzyken, я так понимаю у вас src-nat не настроен, потому пакеты и уходят с адресом клиента VPN.

iptables -t nat -A POSTROUTING -o enp2s0 -j MASQUERADE

[jzyken]

Wexter, но это получается какой-то костыль:

# conntrack -L
udp      17 29 src=10.0.0.125 dst=8.8.8.8 sport=43424 dport=53 src=8.8.8.8 dst=192.168.0.125 sport=53 dport=43424 mark=0 use=1
udp      17 27 src=10.0.0.125 dst=8.8.8.8 sport=44706 dport=53 src=8.8.8.8 dst=192.168.0.125 sport=53 dport=44706 mark=0 use=1

Да и не работает оно, src ip в итоге то правильный, и ответы приходят (судя по wireshark-у), только теряются где-то в системе, программы их не видят.