не понял как))

иптаблами

маскарад и фильтрация это независимые вещи

на уровне впн сервера?

ммммм

я кажется пооонял

сначала пакет проходит фильтрацию, потом если да - то маскарадится

ты делаешь маскарад, а далее отрубаешь не нужные маршруты))

даааа

теперь надо разобраться с правилами))

как запрещать и всё огонь)

а ну и я маскарадом раньше не пользовался, н попробую)

Идея ясна короче

наоборот. сначала filter, потом nat postrouting

https://www.opennet.ru/docs/RUS/iptables/

rtfm ёпта)))

статье 100 лет в обед, читай годноту)

пакет прилетает на интерфейс маршрутизатора из впн сети, далее идёт Routing decision, которое смотрит локальную таблицу маршрутизации и принимает решение куда пакет отправить. в нашем случае - это сеть (правая ветка). далее мы попадаем в filter FORWARD где смотрим правила:
- src: client1 dst: [net1, net2]
- src: client2 dst: [net2]
- deny all

подходим под правила - идем дальше. нет - дропаемся. попадаем в nat postrouting - здесь выполняем SNAT подменяя src_ip на адрес интерфейса который торчит в приватную сеть. и выплёвываем пакет в сеть. на обратном пути делаем DNAT и возвращаем пакет в впн и далее клиенту. Оба этих действия можно объединить в одно через маскарадинг. вот и всё

Тогда в регистры лезть или в биосе инфу. Досконально так не лазил

какие регистры, не понял что значит лезть в регистры?