tls-host без документа

Работа! https://t.me/cgood/208

Важная часть — это «в TCP SYN пакетах», потому что именно это важно для NAT, вы не можете перенаправить соединение позже, когда приходит имя хоста SNI.

Это теперь добавлено в документацию... И, как я и говорил, всё основано на значении SNI. Интересный нюанс в том, что TLS-рукопожатие, которое клиент отправляет, должно помещаться в один пакет, чтобы фильтр сработал. Поскольку TLS находится на более высоком уровне модели OSI, чем TCP, идея похожа на фильтр L7, но он проверяет только конкретный формат (TLS) в первом пакете, что технически делает его предопределённым фильтром уровня L6.

Полагаю, что этот матчтер не срабатывает на SYN и ACK пакетах, а анализирует первые пакеты с содержимым. Адреса источника и назначения определяются без участия этого матчтера. При совпадении он завершает исходное соединение между роутером и сервером и создаёт новое соединение с новым пунктом назначения, используя новый источник (определённый правилами, включая матчтер). Для клиента ничего необычного не произойдёт, если у сервера на конечном пункте назначения есть правильный сертификат. Сервер на конечном пункте назначения тоже не заметит никаких отличий. Оригинальный сервер назначения заметит TCP-соединение, которое сразу завершается ещё до первого пакета от клиента.

Я тоже не могу заставить это работать на переадресованных соединениях.

У меня это работает в **** /ip firewall filter chain=forward rules в версии 6.41.1 настолько, насколько это вообще возможно. Но имейте в виду, что вы не можете использовать это вместе с connection-state=new по причинам, описанным выше (пакет client-hello отправляется уже после того, как TCP-соединение установлено). Поэтому вы можете использовать совпадение, чтобы разорвать TCP-сессию, но не, например, перенаправить её на выделённое WAN-соединение — для этого слишком поздно, когда срабатывает это правило.