iptables 2 gateways

#1 Hallo,

Mein Problem ist folgendes: mein zweitrouter im subnetz 192.168.0.x/24 hat den Standard gateway 192.168.0.1 (Hauptrouter).
Wenn ich nun auf diesem zweitrouter openvpn starte wird mein gateway automatisch verändert, sodass der traffic durch das vpn geleitet wird, was erwünscht ist.
Wenn ich jetzt in meinem Hauptrouter Portfreigaben zum zweitrouter einrichte, wird der request auf dieen ports zwar zum zweitrouter durchgeleitet, jedoch gehen dann alle responds über den gateway im vpn.
Es kommt dann zwar beim ursprungsrechner an, halt nur von der ip des gateways im vpn.
Ich will nun, dass die requests, die über den Standard gateway reinkommen auch wieder darüber herausgehn. Und das gerne mit iptables.
Ich kenne mich nicht wirklich gut aus, aber so wie ich das sehe gibt es nur die möglichkeit die herkunft der requests anhand der verschiedenen devices lan(standardgateway), tun(vpngateway) zu identifizieren

#2 Also du hast Router Y für dein gesamtes Subnet 192.168.0.0/24, dann hast du noch Router Z - der einen VPN Tunnel öffnet und all seinen Traffic ausgehend dadurch leitet.
Teils eingehenden traffic leitest du zu Router Z weiter allerdings kommen die Antwort-Pakete durch's VPN und nicht zurück zum Router Y.
So hab ich das nun verstanden, ich denke DNAT macht das was du willst.

Was ich aber nicht verstehe ist warum deine default route bei Router Z auf das VPN gestellt ist, ich mein dein VPN hat doch sicherlich ein anderes Netz sowas wie 10.8.0.0 zb. wie kann es sein das du all deinen traffic durch's VPN leitest, dient Router Z für masquerading?

Zitat

Ich kenne mich nicht wirklich gut aus, aber so wie ich das sehe gibt es nur die möglichkeit die herkunft der requests anhand der verschiedenen devices lan(standardgateway), tun(vpngateway) zu identifizieren

Normalerweise routet man den traffic anhand der Netze und deren ziel gateway, umschreiben geht wie gesagt per DNAT.
Ansonsten gibt es noch mehr Möglichkeiten Pakete zu identifizieren, der Linux netfilter hat da schon noch einiges zu bieten da musst du dich mal mehr mit beschäftigen.
__________
E-Mail: therion at ninth-art dot de
IRC: megatherion @ Freenode