> Спасибо, уже неплохо, хотя из мана это неочевидно (ещё раз к вопросу
> о вменяемой документации).Ну я кроме мана не использовал ничего. Хз, какая должна быть вменяемая. Разве что примеров побольше.
> Но хотелось бы не столько "--ttl-set", сколько "--ttl-inc" (типа, скрыть от трассировки
> dnat'ящий хост)
От трассировки можно, например, просто дропать исходящие icmp ttl exceeded. Это самое простое и дубовое.
Или что-то типа такого (вместо XX и YY подставить нужные числа):
table ip mangle {
chain prerouting {
type filter hook prerouting priority mangle
policy accept
iifname "eth0" ip daddr 192.0.2.33 ip ttl < XX ip ttl set YY
}
}
Или можно дропать пакеты с маленьким ttl, т.к. это в 99.99% трейсроут, а в остальных случаях они и так не нужны уже.