problem s DNAT

[mrak na gryg.net]

tak resil sem stejny problem pri pouziti racoon a nativniho IPsec v jadre
... co jsem pochopil z cteni nekterych mailinglistu tak po provedeni DNAT
se ten paket vrati na zacatek stacku a tam zrejme neprojde pravidlem ktery
urcuje jaky provoz z dane VPN muze jit moje situace:

normalni pravidla pro setkey, pro normalni provoz z tunelu:
spdadd 123.33.96.0/24 134.54.120.0/21 any -P out ipsec
esp/tunnel/11.11.11.11-22.22.22.22/require;
spdadd 134.54.120.0/21 123.33.96.0/24 any -P in ipsec
esp/tunnel/22.22.22.22-11.11.11.11/require;

DNAT:
-s 134.54.120.0/21 -d 123.33.96.1 -j DNAT --to-destinatin 172.20.7.1

nefungovalo do te doby nez sem k pravidlum pro setkey pridal nasledujici
radek:
spdadd 134.54.120.0/21 172.20.7.0/24 any -P in ipsec
esp/tunnel/22.22.22.22-11.11.11.11/require;


doufam ze to aspon nekomu pomuze s DNAT po ipsec, DNAT after ipsec, kdyz
to i me tak nepekne potrapilo ;)