Bonsoir,

J'ai un soucis avec debian 12 lorsque celui-ci est transformé en routeur (forward ipv4 uniquement), le trafic ne passe pas avec rejet de tous les paquets alors qu'il n'y a aucun pare-feu en place. La connexion SSH à la machine fonctionne très bien.

Il s'agit plus exactement de la VM qui me sert de CLAT pour ma connexion 4G, que j'ai migré sur proxmox hébergé sur un mini PC fraîchement acquis, bien plus adapté que mon gouffre à watts de PC fixe.

J'ai voulu faire une upgrade et tout passer en debian 12 mais donc, ça veut pas... J'ai réinstallé une VM sur mon PC fixe et même problème, ça ne vient donc pas de proxmox. Avec debian 11 tout fonctionne nickel. Ça n'a rien à voir non plus avec la version de clatd qui a été récemment MAJ (testé la 1.6 et 2.1, même combat)

Le CLAT fonctionne depuis la VM, mais c'est tout.

J'ai également soupçonné apparmor qui des fois peut faire des trucs inattendus, mais même désactivé, toujours rien. Quelque chose a changé dans la configuration par défaut ?

Si quelqu'un a une idée car je sèche complètement.

Merci

Les seules règles en place sont celles de clatd :
# nft list ruleset
table inet filter {
chain input {
type filter hook input priority filter; policy accept;
}

chain forward {
type filter hook forward priority filter; policy accept;
}

chain output {
type filter hook output priority filter; policy accept;
}
}
table ip6 clatd {
chain prerouting {
type filter hook prerouting priority mangle; policy accept;
iif "clat" ip6 saddr 2a04:cec0:1210:fa10:a00:27ff:fe4b:ccfa ip6 daddr 64:ff9b::/96 ct mark set 0x0000c1a7 meta mark set 0x0000c1a7 counter packets 0 bytes 0
iif "enp0s3" ip6 saddr 64:ff9b::/96 ip6 daddr 2a04:cec0:1210:fa10:a00:27ff:fe4b:ccfa ct mark 0x0000c1a7 meta mark set ct mark counter packets 0 bytes 0
}
}


Merci pour ta réponse, je venais justement poster.

En fait la solution était sous mon nez depuis le début : Il manquait simplement la règle de NAT, que j'avais loupé car je tapais la mauvaise commande sur ma VM fonctionnelle

Après ajout, ça fonctionne tout de suite mieux  Reste à revérifier sur la VM proxmox, mais normalement ça devrait être bon.

EDIT : Tout marche parfaitement :
~# nft list ruleset
table ip nat {
chain prerouting {
type nat hook prerouting priority dstnat; policy accept;
}

chain postrouting {
type nat hook postrouting priority srcnat; policy accept;
oifname "clat" masquerade
}
}

Tout ça mis dans un fichier puis restauré au démarrage avec pre-up nft -f /path/rules.nft dans /etc/network/interfaces ça marche au poil.