Re: HS: iptables interface de sortie par la même que l'entrée.
Le 16/04/2019 à 07:05, Pascal Hambourg a écrit :
> Le 16/04/2019 à 03:48, Jérémy Prego a écrit :
>>
>> Le 15/04/2019 à 20:18, Pascal Hambourg a écrit :
>>> Si je comprends bien tu veux marquer seulement les paquets des
>>> connexions sortantes. Une solution consiste à utiliser le marquage de
>>> connexion avec la cible CONNMARK et la correspondance connmark.
>>
>> pourrais-tu m'éclaircir sur cette partie en me fournissant un exemple de
>> règle ? je trouve rien qui correspond vraiment après avoir testé
>> plusieurs règles trouvé et adapté ici et là ...
>>
>> par exemple j'ai trouvé et adapté une règles comme ça:
>> iptables -t mangle -A ROUTING-POLICY -d jeremy.domain.net -m conntrack
>> --ctstate NEW -j CONNMARK --set-mark 0x3
>> iptables -t mangle -A ROUTING-POLICY -j CONNMARK --restore-mark
>>
>> vu que ça ne correspond pas tout à fait à ce que tu indiques plus haut
>> et que le résultat n'est pas vraiment celui attendu je suppose que je
>> suis pas bon. Un peu d'aide afin de comprendre comment former ma règle
>> ne serait pas de refus.
>
> La seconde règle ne doit marquer que les paquets à destination de
> l'adresse distante. Il ne faut pas rerouter les paquets provenant de
> cette adresse.
>
j'ai testé ça qui ne fonctionne pas non plus:
iptables -t mangle -D ROUTING-POLICY -d jeremy.domain.net -m conntrack
--ctstate NEW -j CONNMARK --set-mark 0x1
iptables -t mangle -A ROUTING-POLICY -d jeremy.domain.net -j CONNMARK
--restore-markc
de ce que j'ai lu, il semble falloir plusieurs règles par destination
une pour marquer les paquets et une autre pour restaurer, mais une aide
supplémentaire ne serait pas de refus parce que là j'arrive pas a grand
chose. beaucoup de tuto que j'ai trouvé sur internet ne souhaite que
faire de la répartition de charge et pas faire du routage avancé dans le
sens un host // une connexion. ou alors, quand je trouve ça ça utilise
encore -J MARK donc comme je fais jusqu'à présent.
merci encore pour l'assistance.
Jerem
Reply to: