Исходное сообщение
"Обход механизма IPsec средсвами iptables." Отправлено Chaynic, 02-Окт-06 15:44
>Наверное не средствами iptables. Посмотрите пакет iproute , man ip. >Дока по iproute где-то тут , на opennet.ru , была. >Суть в том, что трафик от определенной подсети вы отправляете в другую >таблицу маршрутизации и там указываете некий нужный вам шлюз по умолчанию >для трафика из этой подсети. Получается , что основной трафик обрабатывается >дефолтной таблицой и секретится, а нужный вам обрабатывается по другой таблице >и идет мимо. Спасибо. Предложенный механизм достаточно элегантен, но... Дело в том, что шлюз - конечный автомат (т.е. работает из образа распакованного в RAM) и модернизация образа какими-либо пакетами невозможна. Была мне сделана подсказка следующего вида: VPN_1->VPN_2: iptables -t nat -A PREROUTING -s $do't_secret_net1 -d $do't_secret_net2 -j DNAT --to-destination $ip_adr_nexthope (обратный путь думаю ясен) Т.е. если я правильно понял, схема предлогает натировать трафик не подлежащий шифрованию, а шифрованный просто не попадает под это правило. На данный момент попробовать не могу, т.к. шлюзы задействованны на связи. Заранее спасибо за высказанные мысли.