DNAT с использованием iptables работает только для трафика, входящего на eth0

У меня есть машина с двумя интерфейсами, которые имеют разные маршрутизируемые адреса IPv4. Чтобы вернуть трафик на правильный интерфейс, я использовал этот ответ и комментарий , и он работает: я могу подключиться к машине по ssh, используя любой IP-адрес. (Не знаю, окажет ли это какое-либо влияние, но может.)

Теперь я добавил следующие правила iptables для обратного проксирования / DNAT , используя этот ответ . Мой сценарий загрузки теперь выглядит так:

# eth0 is automatically brought up and gets 192.168.1.2 as IP

sudo ip link set eth1 up
sudo ip addr add 192.168.2.2/24 dev eth1
sudo ip rule add from 192.168.2.2 table frometh1
sudo ip route add default via 192.168.2.1 dev eth1 table frometh1

sudo iptables -t nat -A PREROUTING -i eth0 -p tcp -m tcp --dport 443 -j DNAT --to-destination 10.0.0.1:443
sudo iptables -t nat -A PREROUTING -i eth1 -p tcp -m tcp --dport 443 -j DNAT --to-destination 10.0.0.1:443
sudo iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
sudo iptables -t nat -A POSTROUTING -o eth1 -j MASQUERADE

echo 1 > /proc/sys/net/ipv4/ip_forward

Изначально -i eth * не указывалось, а правило DNAT представляло собой всего одну команду. Правила MASQUERADE также были одной командой путем замены -o eth * на -d 10.0.0.1 . Я разделил их, пытаясь сделать интерфейсы явными, на случай, если iptables неявно использует один из интерфейсов.

Когда я пытаюсь достичь 192.168.1.2:443 , трафик перенаправляется и маскируется, как ожидалось . Счетчик попаданий для правильного правила DNAT в таблице PREROUTING увеличивается, а правильное правило MASQUERADE увеличивается. Я могу успешно установить TCP-соединение.

При попытке достичь 192.168.2.2:443 я вижу трафик, входящий на интерфейс, а счетчик попаданий для правильного правила DNAT в таблице PREROUTING равен увеличился. Но исходящего пакета нет, и ни одно из двух правил MASQUERADE в POSTROUTING не увеличивается. TCP SYN никогда не достигает удаленной системы ( 10.0.0.1 ).

Обратите внимание, что не имеет значения, происходит ли пересылка через eth0 или eth1, можно перенаправить трафик на цель ( 10.0.0.1 ) через eth0 или eth1.

Почему правила iptables работают только для eth0, а не для eth1?

Редактировать: Возможно, уместно знать, что проксирование в пользовательском пространстве работает нормально:

mkfifo /tmp/fifo
sudo nc -kvlp 443 </tmp/fifo | nc 10.0.0.1 443 >/tmp/fifo

Позволяет трафику проходить в обоих направлениях, , как описано в этом блоге . Проблема с этим решением заключается в том, что удаленный конец видит только одно постоянное TCP-соединение. Он должен видеть одно соединение для каждого клиента и обрабатывать несколько клиентов одновременно.