Próbowałem według tego (https://eko.one.pl/forum/viewtopic.php?id=7224)
Czyli w [lokalizacja2] na końcówce 192.168.2.10, zrobiłem

iptables -t nat -I POSTROUTING -s 192.168.5.0/24 -o edge0 -j MASQUERADE

Czy to wystarczy ? Bo niestety nie działa ...

Jak dobrze rozumiem to w [lokalizacja2] miałem zrobić nat (maskaradę),
końcówkę mam na linux ale NIE jest to openwrt.

Czy tak utworzona maskarada nie zadziała ?

Mam -r na kliencie, wcześniej miałem też w [lokalizacja1], ale to także nie działało.
Nie wiem co jest nie tak, może czegość oczywistego nie widzę.
To moja konfiuracja:

[lokalizacja1] - openwrt

sysctl net.ipv4.ip_forward

net.ipv4.ip_forward = 1

/etc/config/network

/*fragment*/

config interface 'wan_n2n'
    option proto 'static'
    option ifname 'edge0'

config route
        option interface 'wan_n2n'
        option target '192.168.2.0'
        option netmask '255.255.255.0'

/etc/config/firewall

/*fragment*/

config zone
    option name 'wan_n2n'
    option network 'wan_n2n'
    option masq '1'
    option input 'ACCEPT'
    option output 'ACCEPT'
    option forward 'ACCEPT'

config forwarding
    option src 'lan'
    option dest 'wan_n2n'

config edge
    option ipaddr     '192.168.5.2'
    option supernode  'x.x.x.x'
    option port       'yy'
    option community  'pass'
    option key        'key'
    option route      '0'

route -n

Kernel IP routing table
Destination     Gateway         Genmask         Flags Metric Ref    Use Iface
0.0.0.0         xx.57.171.1     0.0.0.0         UG    0      0        0 eth0.2
192.168.2.0     0.0.0.0         255.255.255.0   U     0      0        0 edge0
192.168.1.0     0.0.0.0         255.255.255.0   U     0      0        0 br-lan
192.168.5.0     0.0.0.0         255.255.255.0   U     0      0        0 edge0
xx.57.171.0     0.0.0.0         255.255.255.0   U     0      0        0 eth0.2
xx.57.171.1     0.0.0.0         255.255.255.255 UH    0      0        0 eth0.2

[lokalizacja2] - linux

edge -a 192.168.5.3 -c pass -k key -l x.x.x.x:yy -f -r

iptables -t nat -L POSTROUTING

Chain POSTROUTING (policy ACCEPT)
target     prot opt source               destination
MASQUERADE  all  --  192.168.5.0/24      anywhere

OpenELEC:~ # ifconfig
/*fragment*/
edge0     Link encap:Ethernet  HWaddr 44:12:1A:13:1C:13
          inet addr:192.168.5.3  Bcast:192.168.5.255  Mask:255.255.255.0
          UP BROADCAST RUNNING MULTICAST  MTU:1400  Metric:1
          RX packets:14220 errors:0 dropped:0 overruns:0 frame:0
          TX packets:14248 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000
          RX bytes:1026464 (1002.4 KiB)  TX bytes:4564078 (4.3 MiB)

eth0      Link encap:Ethernet  HWaddr B1:21:E1:11:11:11
          inet addr:192.168.2.10  Bcast:192.168.2.255  Mask:255.255.255.0
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:1122871 errors:0 dropped:0 overruns:0 frame:0
          TX packets:425275 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000
          RX bytes:1115558647 (1.0 GiB)  TX bytes:79089465 (75.4 MiB)

sysctl net.ipv4.ip_forward

net.ipv4.ip_forward = 1

W takiej konfiuracji z [lokalizacja1] mogę pingować
- 192.168.5.3 (czyli [lokalizacja2])
- 192.168.2.10 (czyli [lokalizacja2]), to działa także bez maskarady

Ale nie mogę już pingować 192.168.2.1, tu miała ponoć pomóc maskarada, ale nie działa.

Zależy mi aby [lokalizacja1] widziała posieć z [lokalizacja2] (a nie tylko 192.168.2.10) NIE potzebuję/NIE chcę aby [lokalizacja2] widziała cokolwiek z [lokalizacja1].

Nie wiem czy dobrze zrozmiałem cytowany fragment, chciałem widzieć podsieć [lokalizacja2]

wieć w [lokalizacja2] zrobiłem tak

iptables -t nat -I POSTROUTING -s 192.168.5.0/24 -o edge0 -j MASQUERADE

(do tego momentu działa mi TYLKO ping do 192.168.2.10)

w [lokalizacja1] zrobiłem cytowany routing tak (choć sugerowane trasy były chyba w drugim kierunku):

route add 192.168.2.10 dev edge0
ip route add 192.168.2.0/24 via 192.168.2.10

efekt w [lokalizacja1] route -n

/*fragment*/
192.168.2.0     192.168.2.10    255.255.255.0   UG    0      0        0 edge0
192.168.2.10    0.0.0.0         255.255.255.255 UH    0      0        0 edge0
192.168.5.0    0.0.0.0         255.255.255.0   U     0      0        0 edge0

nadal nie ma pingów do reszty 192.168.2.0/24

To miałbym zrobić w [lokalizacja1] czy [lokalizacja2] ?
Ale i tak zwarac błąd:

iptables -t nat -I POSTROUTING -i edge0 -o eth0 -j MASQUERADE
[lokalizacja1] iptables v1.4.21: Can't use -i with POSTROUTING
[lokalizacja2] iptables v1.6.0: Can't use -i with POSTROUTING

Jeżeli nie masz dostępu do rutera w lokalizacji2 to masz dwa wyjścia:
1. Dodajesz ruting do podsieci 192.168.1.0/24 gw 192.168.2.10 na każdym hoście w podsieci 192.168.2.0/24
lub
2. Robisz nat w lokalizacji2 na hoście 192.168.2.10, tak jak podałem tyle że lekko zmodyfikowany:

iptables -t nat -I POSTROUTING -s 192.168.1.0/24 -o eth0 -j MASQUERADE
iptables -t nat -I POSTROUTING -s 192.168.5.0/24 -o eth0 -j MASQUERADE

W opcji drugiej każdy host w sieci 192.168.2.0 będzie widział pakiety z n2n jakby wychodziły z hosta 192.168.2.10 i do niego będą odpowiadać tyle że wtedy będzie tak, że hosty w podsieci2 będą dostępne z podsieci1 ale w drugą stronę już nie bezpośrednio.

Jeżeli z lokalizacji2 chciałbyś mieć dostęp np do hosta 192.168.1.100 port 8080 to musiałbyś albo wykonać punkt 1 albo na hoście 192.168.2.10 zrobić przekierowanie portu 8080 od strony eth0 do hosta 192.168.1.100 i wywoływać go przez adres 192.168.2.10:8080

Czy w lokalizacja1 masz jakiegoś nata na edge0? Jeżeli nie to tak zostaw i na hoście 192.168.2.10 musisz jeszcze dodać ruting do podsieci 192.168.1.0/24 via edge0, jeśli to nie zadziała to spróbuj w rutingu do podsieci 192.168.1.0 i 192.168.2.0 po obu stronach użyć jako GW konkretnego IP hosta po drugiej stronie tunelu a nie samego interfejsu edge0.
W lokalizacja2 zostaw nat taki jak Ci podałem wcześniej.

Coś mi się wydaje, że zrobił Ci się tu jakiś bałagan.
1. Wyczyść wszystkie pododawane naty, usuń też opcję masq z zone wan_n2n z firewala na ruterze 1, dodaj accept na forward w obydwie strony między lan i edge0 na obydwu nodach n2n.
2. Następnie sprawdź czy z rutera 192.168.1.1/192.168.5.2 możesz pingować adresy 192.168.5.3 i 192.168.2.10 i w drugą stronę.
3. jeżeli nie ma pinga sprawdź czy masz odpowiednie rutingi po obu stronach.
4. Jeżeli masz ping między nodami w obie strony, zakładając, że 192.168.1.1 jest jednocześnie główną bramą dla całej podsieci 192.168.1.0/24, sprawdź czy masz ping z innego hosta w podsieci 192.168.1.0/24 do noda 192.168.2.10,jeżeli nie ma sprawdź zapory po obydwu stronach.
5. Jak jest ping, dodaj na jednym z hostów w sieci 192.168.2.0/24 ruting do podsieci 192.168.1.0/24 gw 192.168.2.10 (albo zmień mu na chwilę bramę domyślną na 192.168.2.10, nie powinno to mieć wpływu na działanie neta na tym hoście), upewnij się że na tym hoście firewall wpuszcza ping z dowolnej sieci (najlepiej na czas testu wyłącz zaporę), sprawdź czy możesz tego hosta pingować z podsieci 192.168.1.0/24 ale nie z rutera bo ten wychodzi adresem źródłowym 192.168.5.2.
6. Musi działać, jak nie działa posprawdzaj jeszcze raz reguły w zaporach po obu stronach.
7. Jak działa to zostają dwie opcje:

A. dodajesz takiego nata na hoście 192.168.2.10:

iptables -t nat -I POSTROUTING -s 192.168.1.0/24 -o eth0 -j MASQUERADE

W takim układzie z lokalizacji 1 będziesz mieć dostęp do każdego hosta w lokalizacji2 za wyjątkiem dostępu z rutera 192.168.1.1 (bo on wychodzi z adresem źródłowym 192.168.5.2, jeżeli Ci na tym zależy to musisz jeszcze dodać drugą regułkę z -s 192.168.5.0/24
   lub
B. zmieniasz bramę domyślną lub dopisujesz ruting jak w p.5 na każdym hoście w lokalizacji2, który ma być osiągalny z lokalizacji1, jeżeli ma być dostęp też z rutera to musi być też ruting do adresacji 192.168.5.0/24

Nie ma wyjścia, musi działać.

Szukam w obu firewallach ale czy jest tam cos podejrzanego ?

lokalizacja1:

iptables --list-rules | grep n2n
-N forwarding_wan_n2n_rule
-N input_wan_n2n_rule
-N output_wan_n2n_rule
-N zone_wan_n2n_dest_ACCEPT
-N zone_wan_n2n_forward
-N zone_wan_n2n_input
-N zone_wan_n2n_output
-N zone_wan_n2n_src_ACCEPT
-A delegate_forward -i edge0 -j zone_wan_n2n_forward
-A delegate_input -i edge0 -j zone_wan_n2n_input
-A delegate_output -o edge0 -j zone_wan_n2n_output
-A zone_lan_forward -m comment --comment "forwarding lan -> wan_n2n" -j zone_wan_n2n_dest_ACCEPT
-A zone_wan_n2n_dest_ACCEPT -o edge0 -j ACCEPT
-A zone_wan_n2n_forward -m comment --comment "user chain for forwarding" -j forwarding_wan_n2n_rule
-A zone_wan_n2n_forward -m comment --comment "forwarding wan_n2n -> lan" -j zone_lan_dest_ACCEPT
-A zone_wan_n2n_forward -m conntrack --ctstate DNAT -m comment --comment "Accept port forwards" -j ACCEPT
-A zone_wan_n2n_forward -j zone_wan_n2n_dest_ACCEPT
-A zone_wan_n2n_input -m comment --comment "user chain for input" -j input_wan_n2n_rule
-A zone_wan_n2n_input -p icmp -m icmp --icmp-type 8 -m comment --comment "wan_n2n:Allow-Ping" -j ACCEPT
-A zone_wan_n2n_input -m conntrack --ctstate DNAT -m comment --comment "Accept port redirections" -j ACCEPT
-A zone_wan_n2n_input -j zone_wan_n2n_src_ACCEPT
-A zone_wan_n2n_output -m comment --comment "user chain for output" -j output_wan_n2n_rule
-A zone_wan_n2n_output -j zone_wan_n2n_dest_ACCEPT
-A zone_wan_n2n_src_ACCEPT -i edge0 -j ACCEPT

lokalizacja2:

iptables --list-rules
-P INPUT ACCEPT
-P FORWARD ACCEPT
-P OUTPUT ACCEPT
-A FORWARD -i edge0 -j ACCEPT
-A FORWARD -o edge0 -j ACCEPT

Tak, ruter 192.168.1.1 to ten sam sprzęt, na którym mam noda n2n 192.168.5.2.

Działa

Nie za bardzo rozumiem, co masz na myśli pisząc "(drugi interfejs tego samego hosta)" w sensie drugi interfejs maszyny 192.168.2.10 ? Sugerujesz że ping z 192.168.2.10 do 192.168.1.1 próbuje strzelać w inny host niż ten w n2n ? tzn. że bez n2n i rutingów które dodałem w sieci 192.168.2.0/24 jest host 192.68.1.1 ? Jeśli tak to na lokalizacji1 zrobię interfejs 192.168.10.1. I wszystko przerobię pod tym kątem.

Skrótowo odpowiedziałem na Twój scenariusz gdzie pisałeś aby sprawdzić:
z 192.168.2.10 do 192.168.5.2 - działa
z 192.168.1.1 do 192.168.5.3 - działa

Tylko te 2.

A sugerowane routingi zaraz sprawdzę

snifer:

Wielkie dzięki za pomoc, szacunek za cierpliwość i pomocną dłoń !

DZIAŁA

TL;DR:
totalnie wszystko po drodze było dobrze z wyjątkiem trasy
na [lokalizacji1] MUSI być

192.168.2.0    192.168.5.3       255.255.255.0       UG   0   0   0   edge0

tzn. ta trasa poniżej (działała dla 192.168.2.10 a NIE działała dla 192.168.2.0/24)

192.168.2.0     0.0.0.0         255.255.255.0   U     0      0        0 edge0

W następnym poście napiszę dokładnie pełną konfigurację