[Sysadmins] bridge & iptables MASQUERADE

[Maks Re]

у меня похожая картинка. как бороться не понял

на гейте: два физических интерфейса (wan, lan).
создан br0  и к нему привязан lan

выход в инет - поднимается ppp0 (pptp) через wan (у меня корбина)

делаю правила маскарадинга или snat - результат какой-то неожиданный

у меня на гейте две внутренние сетки одна - локальная сеть
(192.168.100.0/24), 
вторая - контейнеры ovz (192.168.102.0/24). 

не смог понять как "оно" работает. потому что работать оно начинает и
заканчивает и снова начинает...
выражается это в следующем

в firefox открывается соединение к веб узлу (у меня это всегда
rian.ru), и потом висит в ожидании ответа сервера. 

в claws-mail - долго пытается
подключиться к imap.google.com и кушает много процессора. работать
почтовик не может пока не получит ответ, а ответа нету...

машинка - бранч 5.0
ядро - 2.6.27-ovz-smp-alt3



> On Monday 13 April 2009, Владимир wrote:
> 
> > > Наткнулся на некоторую неприятную особенность ядра и хотелось бы
> > > надеяться, что это баг, а не фича. Хотелось бы разобраться. Итак,
> > > имеем 
>  
> > > И вот кажется мне, что таки это какая-то бага всё-таки, а не фича.
> > > 2.6.18-ovz-smp-alt24. Кто что думает ?
>  
> > Просто bridge не аппаратный, а эмулируется на уровнях ISO/OSI выше
> > 2 level, что необходимо учитывать. Так что, ни вашим, ни нашим,
> > пусть это будет "специфика". 
> 
> А оно даже описано. Только этот пример с iptables в описании ebtables
> почему-то: http://ebtables.sourceforge.net/br_fw_ia/br_fw_ia.html
> 
> The catch is in the first line. Because the iptables code gets
> executed for both bridged packets and routed packets, we need to make
> a distinction between the two. We don't really want the bridged
> frames/packets to be masqueraded.
>