Ich hatte ja in meinem letzten Beitrag schon beschrieben, die Regel macht ein Masquerading für die Pakete vom Server über VPN in dein Heimnetz. Damit funktioniert das Split-Routing, weil du nicht den kompletten Internetverkehr über den VPN Tunnel leitest.
Ohne diese Regel werden die Pakete vom Server mit ihrer öffentlichen Absender-IP weitergeleitet (Hast du ja im tcpdump gesehen). Damit werden sie entweder sofort von den Allowed IPs kassiert und kommen gar nicht am Ziel an, oder dein Heimnetz kann nicht richtig drauf antworten. Denn wenn die Absenderadresse der Pakete in deinem Heimnetz noch eine öffentliche IP ist, dann will dein Heimnetz die Antwort über die Default-Route schicken, und das ist nicht der VPN Tunnel. Beim ursprünglichen Absender käme die Antwort von einer anderen Quell-IP an, als er ursprünglich mal als Ziel-IP benutzt hat. Das Antwortpaket wird verworfen, da der Absender die Antwort nicht seiner Frage zuordnen kann.
Mit der Regel ersetzt der Server die originale öffentliche Absender-IP durch die VPN Transportnetz-IP. Das geht durch den Tunnel, und dein Heimnetz weiß, wohin mit der Antwort. Man könnte die generische Masquerade Regel durch spezifischere SNAT Regeln ersetzen, aber ob es was bringt? Viel nicht. Was aber wieder gilt: Die Masquerade Regel darf nur 1x existieren!
Vielleicht noch zur Anschauung:
https://www.tech-island.com/kb/linux/reference/unterschied-zwischen-masquerade-snat-und-dnat
Zur Anschauung noch mal ein kompletter Regelsatz für einen Port mit SNAT anstatt generischem MASQUERADE:
iptables -t nat -A PREROUTING -i eth0 -d ÖFFENTLICHE_IP -p tcp --dport 8080 -j DNAT --to-destination 192.168.1.21:8080
iptables -A FORWARD -i eth0 -p tcp --dport 8080 -d 192.168.1.21 -j ACCEPT
iptables -t nat -A POSTROUTING -o VPN -d 192.168.1.22 -p tcp --dport 8080 -j SNAT --to-source 10.0.0.1
Zunächst wird die Zieladresse auf die Adresse im Heimnetz umgeschrieben. Dann wird das Forwarding für diese Zieladresse und den Zielport erlaubt. Zuletzt wird die Quelladresse für die Zieladresse und den Zielport umgeschrieben.
Die spezifischen Regeln haben den Vorteil, dass sie nur exakt in dem Moment greifen, wenn ein Paket für die Portweiterleitung bearbeitet wird. Die generische MASQUERADE Regel greift immer, und es kann ja durchaus Anwendungsfälle auf dem VPN abseits der Portweiterleitung geben, für die das nicht erwünscht ist.
