iptables snat

так пробывал, не получается. Начал пинговать с 1 подсети ип 192.168.11.11 и смотреть tcpdump'ом трафик шел с без подмены ип адреса.

NAT между машинами в одной физической сети с одним шлюзом - странная идея.

Ну да ладно.

Добавляем «iptables -t raw -A PREROUTING -p icmp -d 192.168.11.11 -j TRACE», делаем из 192.168.1.x пинг до 192.168.11.11 и смотрим логи и пытаемся понять почему не сработало.

Только потом не забудте очистить raw-таблицу.

данная команда выдает ошибку iptables: Unknown error 4294967295.

возможно не загружены модули.

modprobe iptable_raw
modprobe xt_TRACE

А трафик вобще шёл через ваш шлюз? Может у вас там icmp-redirect пакеты шлюзом генерируются, а клиентами обрабатываются и сети общаются напрямую?

ICMP Redirect в таких случаях не генерируется.

Вот как раз по rfc 792 редирект и должен возникать, но есть специальное уточнение , что если пакет приходит и уходит в один и тот же физический интерфейс, но в разные подсети, то не должно быть редиректа.

Но это теория, а вот древняя практика: http://oss.sgi.com/archives/netdev/2004-07/msg00512.html , а вот более свежая https://bugs.debian.org/cgi-bin/bugreport.cgi?bug=397550 . Да, этот баг пофиксили, но баги любят возраждаться в ядре, особенно с учётом того, что есть мнение https://dev.openwrt.org/ticket/4397 , что если сети физически в одном сегменте, то редиректы обязаны быть.

Поэтому я советую ТС начать с проверки tcpdump'ом на маршрутизаторе, что трафик идёт через него, и только потом искать проблему в правилах в iptables.

Вопрос так и не получилось решить нормальным образом. Но решил проблему выносом данного ресурса в наружу =)))