iptables + nat (долго грузятся страницы)

[FoLk]

Перечитал уже много форумов, менял значения MTU. Не знаю уже куда копать...
Новые страницы (которые не кешированны) долго грузятся (8-15 сек)
Дело не в интернете, до этого стоял роутер, который понадобилось заменить пришло решение поднять нат.
В сетке около 60-100 компов + терминальщики


Так выглядит на данное время iptables:

(Нажмите, чтобы показать/скрыть)

Код: [Выделить]

#!/bin/sh
PATH=/usr/sbin:/sbin:/bin:/usr/bin


echo "1" > /proc/sys/net/ipv4/ip_forward


#Первым делом очистим существующую таблицу правил:
iptables -F
# Добавляем первое правило которое позволит нам не потерять удаленный контроль над сервером
iptables -A INPUT -p tcp -i eth0 --dport 22 -j ACCEPT
# Прописываем политики по умолчанию:
# Принимать все пакеты, которые инициированы из уже установленного соединения, и имеющим признак ESTABLISHED.
# Состояние ESTABLISHED говорит о том, что это не первый пакет в соединении.
iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
#Запрешаем на передачу всё, что не разрешено.
iptables -P INPUT DROP iptables -P FORWARD ACCEPT iptables -P OUTPUT ACCEPT
# Разрешаем хождение трафика по localhost
iptables -A INPUT -i lo -j ACCEPT
#Разрешаем пинг(DROP - запретить)
iptables -A INPUT -i eth1 -p icmp --icmp-type 8 -j ACCEPT
#NAT
#Должен быть включен ip forwarding
iptables -A FORWARD -i eth0 -o eth1 -s 192.168.1.0/28 -j ACCEPT
iptables -A POSTROUTING -t nat -j MASQUERADE iptables -A INPUT -i eth1 -p icmp --icmp-type 8 -j ACCEPT
# MTU
iptables -t mangle -I FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu
iptables -t mangle -I POSTROUTING -o eth0 -j TTL --ttl-set 64


ifconfig:

(Нажмите, чтобы показать/скрыть)

Код: [Выделить]

eth0      Link encap:Ethernet  HWaddr 00:e0:b2:01:11:8a
          inet addr:92.50.***.***  Bcast:92.50.**.***  Mask:255.255.255.252
          inet6 addr: fe80::2e0:b2ff:fe01:118a/64 Scope:Link
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:8344448 errors:0 dropped:19425 overruns:0 frame:0
          TX packets:6764975 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000
          RX bytes:4067888838 (3.7 GiB)  TX bytes:1116732442 (1.0 GiB)
          Interrupt:42 Base address:0xc000

eth1      Link encap:Ethernet  HWaddr 00:e0:b2:01:13:f5
          inet addr:192.168.1.1  Bcast:192.168.1.255  Mask:255.255.255.0
          inet6 addr: fe80::2e0:b2ff:fe01:13f5/64 Scope:Link
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:7160659 errors:0 dropped:16 overruns:0 frame:0
          TX packets:7321764 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000
          RX bytes:1221935369 (1.1 GiB)  TX bytes:4054820416 (3.7 GiB)
          Interrupt:43 Base address:0x6000

lo        Link encap:Local Loopback
          inet addr:127.0.0.1  Mask:255.0.0.0
          inet6 addr: ::1/128 Scope:Host
          UP LOOPBACK RUNNING  MTU:16436  Metric:1
          RX packets:2 errors:0 dropped:0 overruns:0 frame:0
          TX packets:2 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:0
          RX bytes:136 (136.0 B)  TX bytes:136 (136.0 B)interfaces:

Код: [Выделить]

# This file describes the network interfaces available on your system
# and how to activate them. For more information, see interfaces(5).

# The loopback network interface
auto lo
iface lo inet loopback

# The primary network interface
auto eth0
iface eth0 inet static
        address 92.50.***.***
        netmask 255.255.255.252
        gateway 92.50.***.***
        mtu 1500
#
auto eth1
iface eth1 inet static
        address 192.168.1.1
        netmask 255.255.255.0
        gateway 192.168.1.1
        broadcast 192.168.1.255
        mtu 1500



(Нажмите, чтобы показать/скрыть)

[ArcFi]

Шлюз:

Код: [Выделить]

ip a ; ip r ; sysctl net.ipv4.ip_forward ; sudo iptables-save
Клиент:

Код: [Выделить]

ip a ; ip r ; nslookup ya.ru ; nslookup ya.ru 8.8.8.8 ; tracepath ya.ru

[FoLk]

ip a:

(Нажмите, чтобы показать/скрыть)

Код: [Выделить]

ip a
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 16436 qdisc noqueue state UNKNOWN
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
    inet6 ::1/128 scope host
       valid_lft forever preferred_lft forever
2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP qlen 1000
    link/ether 00:e0:b2:01:11:8a brd ff:ff:ff:ff:ff:ff
    inet 92.50.154.66/30 brd 92.50.154.67 scope global eth0
    inet6 fe80::2e0:b2ff:fe01:118a/64 scope link
       valid_lft forever preferred_lft forever
3: eth1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP qlen 1000
    link/ether 00:e0:b2:01:13:f5 brd ff:ff:ff:ff:ff:ff
    inet 192.168.1.1/24 brd 192.168.1.255 scope global eth1
    inet6 fe80::2e0:b2ff:fe01:13f5/64 scope link
       valid_lft forever preferred_lft forever


sysctl net.ipv4.ip_forward:

(Нажмите, чтобы показать/скрыть)

Код: [Выделить]

net.ipv4.ip_forward = 1

(Нажмите, чтобы показать/скрыть)

Код: [Выделить]

# Generated by iptables-save v1.4.14 on Thu Nov 28 09:25:29 2013
*mangle
:PREROUTING ACCEPT [975110:293729420]
:INPUT ACCEPT [7242:712807]
:FORWARD ACCEPT [960928:292521251]
:OUTPUT ACCEPT [4002:593382]
:POSTROUTING ACCEPT [963784:292094914]
-A FORWARD -p tcp -m tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu
-A FORWARD -p tcp -m tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu
-A FORWARD -p tcp -m tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu
-A FORWARD -p tcp -m tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu
-A POSTROUTING -o eth0 -j TTL --ttl-set 64
-A POSTROUTING -o eth0 -j TTL --ttl-set 64
-A POSTROUTING -o eth0 -j TTL --ttl-set 64
-A POSTROUTING -o eth0 -j TTL --ttl-set 64
COMMIT
# Completed on Thu Nov 28 09:25:29 2013
# Generated by iptables-save v1.4.14 on Thu Nov 28 09:25:29 2013
*nat
:PREROUTING ACCEPT [23162:1724452]
:INPUT ACCEPT [4049:372238]
:OUTPUT ACCEPT [12:871]
:POSTROUTING ACCEPT [221:11611]
-A PREROUTING -d 92.50.***.***/32 -p udp -m multiport --dports 1194 -j DNAT --to-                                                                                                 destination 192.168.1.10:1194
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 21 -j DNAT --to-de                                                                                                 stination 192.168.1.4:21
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 433 -j DNAT --to-d                                                                                                 estination 192.168.1.4:433
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 80 -j DNAT --to-de                                                                                                 stination 192.168.1.3:80
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 7778 -j DNAT --to-                                                                                                 destination 192.168.1.103:3389
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 6363 -j DNAT --to-                                                                                                 destination 192.168.1.46:3389
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 7776 -j DNAT --to-                                                                                                 destination 192.168.1.103:3389
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 3355 -j DNAT --to-                                                                                                 destination 192.168.1.4:3389
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 5566 -j DNAT --to-                                                                                                 destination 192.168.1.2:3389
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 3472 -j DNAT --to-                                                                                                 destination 192.168.1.5:3389
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 3131 -j DNAT --to-                                                                                                 destination 192.168.1.223:3389
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 3366 -j DNAT --to-                                                                                                 destination 192.168.1.32:3389
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 9966 -j DNAT --to-                                                                                                 destination 192.168.1.112:3389
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 4455 -j DNAT --to-                                                                                                 destination 192.168.1.3:3389
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 4242 -j DNAT --to-                                                                                                 destination 192.168.1.42:3389
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 5444 -j DNAT --to-                                                                                                 destination 192.168.1.129:3389
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 3488 -j DNAT --to-                                                                                                 destination 192.168.1.125:22
-A PREROUTING -p tcp -m tcp --dport 6881:6889 -j DNAT --to-destination 192.168.1                                                                                                 .22
-A PREROUTING -p tcp -m tcp --dport 6881:6889 -j DNAT --to-destination 192.168.1                                                                                                 .32
-A PREROUTING -p tcp -m tcp --dport 4000:4100 -j DNAT --to-destination 192.168.1                                                                                                 .4
-A PREROUTING -d 92.50.***.***/32 -p udp -m multiport --dports 1194 -j DNAT --to-                                                                                                 destination 192.168.1.10:1194
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 21 -j DNAT --to-de                                                                                                 stination 192.168.1.4:21
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 433 -j DNAT --to-d                                                                                                 estination 192.168.1.4:433
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 80 -j DNAT --to-de                                                                                                 stination 192.168.1.3:80
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 7778 -j DNAT --to-                                                                                                 destination 192.168.1.103:3389
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 6363 -j DNAT --to-                                                                                                 destination 192.168.1.46:3389
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 7776 -j DNAT --to-                                                                                                 destination 192.168.1.103:3389
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 3355 -j DNAT --to-                                                                                                 destination 192.168.1.4:3389
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 5566 -j DNAT --to-                                                                                                 destination 192.168.1.2:3389
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 3472 -j DNAT --to-                                                                                                 destination 192.168.1.5:3389
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 3131 -j DNAT --to-                                                                                                 destination 192.168.1.223:3389
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 3366 -j DNAT --to-                                                                                                 destination 192.168.1.32:3389
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 9966 -j DNAT --to-                                                                                                 destination 192.168.1.112:3389
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 4455 -j DNAT --to-                                                                                                 destination 192.168.1.3:3389
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 4242 -j DNAT --to-                                                                                                 destination 192.168.1.42:3389
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 5444 -j DNAT --to-                                                                                                 destination 192.168.1.129:3389
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 3488 -j DNAT --to-                                                                                                 destination 192.168.1.125:22
-A PREROUTING -d 92.50.***.***/32 -p udp -m multiport --dports 1194 -j DNAT --to-                                                                                                 destination 192.168.1.10:1194
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 21 -j DNAT --to-de                                                                                                 stination 192.168.1.4:21
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 433 -j DNAT --to-d                                                                                                 estination 192.168.1.4:433
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 80 -j DNAT --to-de                                                                                                 stination 192.168.1.3:80
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 7778 -j DNAT --to-                                                                                                 destination 192.168.1.103:3389
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 6363 -j DNAT --to-                                                                                                 destination 192.168.1.46:3389
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 7776 -j DNAT --to-                                                                                                 destination 192.168.1.103:3389
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 3355 -j DNAT --to-                                                                                                 destination 192.168.1.4:3389
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 5566 -j DNAT --to-                                                                                                 destination 192.168.1.2:3389
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 3472 -j DNAT --to-                                                                                                 destination 192.168.1.5:3389
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 3131 -j DNAT --to-                                                                                                 destination 192.168.1.223:3389
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 3366 -j DNAT --to-                                                                                                 destination 192.168.1.32:3389
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 9966 -j DNAT --to-                                                                                                 destination 192.168.1.112:3389
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 4455 -j DNAT --to-                                                                                                 destination 192.168.1.3:3389
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 4242 -j DNAT --to-                                                                                                 destination 192.168.1.42:3389
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 5444 -j DNAT --to-                                                                                                 destination 192.168.1.129:3389
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 3488 -j DNAT --to-                                                                                                 destination 192.168.1.125:22
-A PREROUTING -d 92.50.***.***/32 -p udp -m multiport --dports 1194 -j DNAT --to-                                                                                                 destination 192.168.1.10:1194
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 21 -j DNAT --to-de                                                                                                 stination 192.168.1.4:21
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 433 -j DNAT --to-d                                                                                                 estination 192.168.1.4:433
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 80 -j DNAT --to-de                                                                                                 stination 192.168.1.3:80
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 7778 -j DNAT --to-                                                                                                 destination 192.168.1.103:3389
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 6363 -j DNAT --to-                                                                                                 destination 192.168.1.46:3389
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 7776 -j DNAT --to-                                                                                                 destination 192.168.1.103:3389
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 3355 -j DNAT --to-                                                                                                 destination 192.168.1.4:3389
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 5566 -j DNAT --to-                                                                                                 destination 192.168.1.2:3389
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 3472 -j DNAT --to-                                                                                                 destination 192.168.1.5:3389
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 3131 -j DNAT --to-                                                                                                 destination 192.168.1.223:3389
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 3366 -j DNAT --to-                                                                                                 destination 192.168.1.32:3389
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 9966 -j DNAT --to-                                                                                                 destination 192.168.1.112:3389
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 4455 -j DNAT --to-                                                                                                 destination 192.168.1.3:3389
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 4242 -j DNAT --to-                                                                                                 destination 192.168.1.42:3389
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 5444 -j DNAT --to-                                                                                                 destination 192.168.1.129:3389
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 3488 -j DNAT --to-                                                                                                 destination 192.168.1.125:22
-A POSTROUTING -s 192.168.1.0/24 -j MASQUERADE
COMMIT
# Completed on Thu Nov 28 09:25:29 2013
# Generated by iptables-save v1.4.14 on Thu Nov 28 09:25:29 2013
*filter
:INPUT ACCEPT [6875:682596]
:FORWARD ACCEPT [958622:290907311]
:OUTPUT ACCEPT [4071:609093]
-A INPUT -i eth0 -p tcp -m tcp --dport 22 -j ACCEPT
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -i eth1 -p icmp -m icmp --icmp-type 8 -j ACCEPT
-A FORWARD -s 192.168.1.0/28 -i eth0 -o eth1 -j ACCEPT
-A FORWARD -i eth1 -m string --string "vkontakte.ru" --algo kmp --to 65535 -m ip                                                                                                 range --src-range 192.168.1.1-192.168.1.21 -j DROP
-A FORWARD -i eth1 -m string --string "vkontakte.ru" --algo kmp --to 65535 -m ip                                                                                                 range --src-range 192.168.1.22-192.168.1.22 -j ACCEPT
-A FORWARD -i eth1 -m string --string "vkontakte.ru" --algo kmp --to 65535 -m ip                                                                                                 range --src-range 192.168.1.23-192.168.1.31 -j DROP
-A FORWARD -i eth1 -m string --string "vkontakte.ru" --algo kmp --to 65535 -m ip                                                                                                 range --src-range 192.168.1.32-192.168.1.32 -j ACCEPT
-A FORWARD -i eth1 -m string --string "vkontakte.ru" --algo kmp --to 65535 -m ip                                                                                                 range --src-range 192.168.1.33-192.168.1.128 -j DROP
-A FORWARD -i eth1 -m string --string "vkontakte.ru" --algo kmp --to 65535 -m ip                                                                                                 range --src-range 192.168.1.129-192.168.1.129 -j ACCEPT
-A FORWARD -i eth1 -m string --string "vkontakte.ru" --algo kmp --to 65535 -m ip                                                                                                 range --src-range 192.168.1.130-192.168.1.208 -j DROP
-A FORWARD -i eth1 -m string --string "vkontakte.ru" --algo kmp --to 65535 -m ip                                                                                                 range --src-range 192.168.1.209-192.168.1.209 -j ACCEPT
-A FORWARD -i eth1 -m string --string "vkontakte.ru" --algo kmp --to 65535 -m ip                                                                                                 range --src-range 192.168.1.210-192.168.1.245 -j DROP
-A FORWARD -i eth1 -m string --string "vk.com" --algo kmp --to 65535 -m iprange                                                                                                  --src-range 192.168.1.1-192.168.1.21 -j DROP
-A FORWARD -i eth1 -m string --string "vk.com" --algo kmp --to 65535 -m iprange                                                                                                  --src-range 192.168.1.22-192.168.1.22 -j ACCEPT
-A FORWARD -i eth1 -m string --string "vk.com" --algo kmp --to 65535 -m iprange                                                                                                  --src-range 192.168.1.23-192.168.1.31 -j DROP
-A FORWARD -i eth1 -m string --string "vk.com" --algo kmp --to 65535 -m iprange                                                                                                  --src-range 192.168.1.32-192.168.1.32 -j ACCEPT
-A FORWARD -i eth1 -m string --string "vk.com" --algo kmp --to 65535 -m iprange                                                                                                  --src-range 192.168.1.33-192.168.1.128 -j DROP
-A FORWARD -i eth1 -m string --string "vk.com" --algo kmp --to 65535 -m iprange                                                                                                  --src-range 192.168.1.129-192.168.1.129 -j ACCEPT
-A FORWARD -i eth1 -m string --string "vk.com" --algo kmp --to 65535 -m iprange                                                                                                  --src-range 192.168.1.130-192.168.1.208 -j DROP
-A FORWARD -i eth1 -m string --string "vk.com" --algo kmp --to 65535 -m iprange                                                                                                  --src-range 192.168.1.209-192.168.1.209 -j ACCEPT
-A FORWARD -i eth1 -m string --string "vk.com" --algo kmp --to 65535 -m iprange                                                                                                  --src-range 192.168.1.210-192.168.1.245 -j DROP
-A FORWARD -i eth1 -m string --string "odnoklasniki.ru" --algo kmp --to 65535 -m                                                                                                  iprange --src-range 192.168.1.1-192.168.1.21 -j DROP
-A FORWARD -i eth1 -m string --string "odnoklasniki.ru" --algo kmp --to 65535 -m                                                                                                  iprange --src-range 192.168.1.22-192.168.1.22 -j ACCEPT
-A FORWARD -i eth1 -m string --string "odnoklasniki.ru" --algo kmp --to 65535 -m                                                                                                  iprange --src-range 192.168.1.23-192.168.1.31 -j DROP
-A FORWARD -i eth1 -m string --string "odnoklasniki.ru" --algo kmp --to 65535 -m                                                                                                  iprange --src-range 192.168.1.32-192.168.1.32 -j ACCEPT
-A FORWARD -i eth1 -m string --string "odnoklasniki.ru" --algo kmp --to 65535 -m                                                                                                  iprange --src-range 192.168.1.33-192.168.1.128 -j DROP
-A FORWARD -i eth1 -m string --string "odnoklasniki.ru" --algo kmp --to 65535 -m                                                                                                  iprange --src-range 192.168.1.129-192.168.1.129 -j ACCEPT
-A FORWARD -i eth1 -m string --string "odnoklasniki.ru" --algo kmp --to 65535 -m                                                                                                  iprange --src-range 192.168.1.130-192.168.1.208 -j DROP
-A FORWARD -i eth1 -m string --string "odnoklasniki.ru" --algo kmp --to 65535 -m                                                                                                  iprange --src-range 192.168.1.209-192.168.1.209 -j ACCEPT
-A FORWARD -i eth1 -m string --string "odnoklasniki.ru" --algo kmp --to 65535 -m                                                                                                  iprange --src-range 192.168.1.210-192.168.1.245 -j DROP
-A FORWARD -i eth1 -m string --string "video.yandex.ru" --algo kmp --to 65535 -m                                                                                                  iprange --src-range 192.168.1.1-192.168.1.21 -j DROP
-A FORWARD -i eth1 -m string --string "video.yandex.ru" --algo kmp --to 65535 -m                                                                                                  iprange --src-range 192.168.1.22-192.168.1.22 -j ACCEPT
-A FORWARD -i eth1 -m string --string "video.yandex.ru" --algo kmp --to 65535 -m                                                                                                  iprange --src-range 192.168.1.23-192.168.1.31 -j DROP
-A FORWARD -i eth1 -m string --string "video.yandex.ru" --algo kmp --to 65535 -m                                                                                                  iprange --src-range 192.168.1.32-192.168.1.32 -j ACCEPT
-A FORWARD -i eth1 -m string --string "video.yandex.ru" --algo kmp --to 65535 -m                                                                                                  iprange --src-range 192.168.1.33-192.168.1.128 -j DROP
-A FORWARD -i eth1 -m string --string "video.yandex.ru" --algo kmp --to 65535 -m                                                                                                  iprange --src-range 192.168.1.129-192.168.1.129 -j ACCEPT
-A FORWARD -i eth1 -m string --string "video.yandex.ru" --algo kmp --to 65535 -m                                                                                                  iprange --src-range 192.168.1.130-192.168.1.208 -j DROP
-A FORWARD -i eth1 -m string --string "video.yandex.ru" --algo kmp --to 65535 -m                                                                                                  iprange --src-range 192.168.1.209-192.168.1.209 -j ACCEPT
-A FORWARD -i eth1 -m string --string "video.yandex.ru" --algo kmp --to 65535 -m                                                                                                  iprange --src-range 192.168.1.210-192.168.1.245 -j DROP
-A FORWARD -i eth1 -m string --string "youtube.com" --algo kmp --to 65535 -m ipr                                                                                                 ange --src-range 192.168.1.1-192.168.1.21 -j DROP
-A FORWARD -i eth1 -m string --string "youtube.com" --algo kmp --to 65535 -m ipr                                                                                                 ange --src-range 192.168.1.22-192.168.1.22 -j ACCEPT
-A FORWARD -i eth1 -m string --string "youtube.com" --algo kmp --to 65535 -m ipr                                                                                                 ange --src-range 192.168.1.23-192.168.1.31 -j DROP
-A FORWARD -i eth1 -m string --string "youtube.com" --algo kmp --to 65535 -m ipr                                                                                                 ange --src-range 192.168.1.32-192.168.1.32 -j ACCEPT
-A FORWARD -i eth1 -m string --string "youtube.com" --algo kmp --to 65535 -m ipr                                                                                                 ange --src-range 192.168.1.33-192.168.1.128 -j DROP
-A FORWARD -i eth1 -m string --string "youtube.com" --algo kmp --to 65535 -m ipr                                                                                                 ange --src-range 192.168.1.129-192.168.1.129 -j ACCEPT
-A FORWARD -i eth1 -m string --string "youtube.com" --algo kmp --to 65535 -m ipr                                                                                                 ange --src-range 192.168.1.130-192.168.1.208 -j DROP
-A FORWARD -i eth1 -m string --string "youtube.com" --algo kmp --to 65535 -m ipr                                                                                                 ange --src-range 192.168.1.209-192.168.1.209 -j ACCEPT
-A FORWARD -i eth1 -m string --string "youtube.com" --algo kmp --to 65535 -m ipr                                                                                                 ange --src-range 192.168.1.210-192.168.1.245 -j DROP
COMMIT
# Completed on Thu Nov 28 09:25:29 2013


[ArcFi]

FoLk, целиком одной строкой выполните и скопипастите сюды, плиз.

[FoLk]

Шлюз:

(Нажмите, чтобы показать/скрыть)

Код: [Выделить]

root@vip-routing:~# ip a ; ip r ; sysctl net.ipv4.ip_forward ;  iptables-save
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 16436 qdisc noqueue state UNKNOWN
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
    inet6 ::1/128 scope host
       valid_lft forever preferred_lft forever
2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP qlen 1000
    link/ether 00:e0:b2:01:11:8a brd ff:ff:ff:ff:ff:ff
    inet 92.50.***.***/30 brd 92.50.***.*** scope global eth0
    inet6 fe80::2e0:b2ff:fe01:118a/64 scope link
       valid_lft forever preferred_lft forever
3: eth1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP qlen 1000
    link/ether 00:e0:b2:01:13:f5 brd ff:ff:ff:ff:ff:ff
    inet 192.168.1.1/24 brd 192.168.1.255 scope global eth1
    inet6 fe80::2e0:b2ff:fe01:13f5/64 scope link
       valid_lft forever preferred_lft forever
default via 92.50.***.*** dev eth0
92.50.***.***/30 dev eth0  proto kernel  scope link  src 92.50.***.***
192.168.1.0/24 dev eth1  proto kernel  scope link  src 192.168.1.1
net.ipv4.ip_forward = 1
# Generated by iptables-save v1.4.14 on Thu Nov 28 09:29:39 2013
*mangle
:PREROUTING ACCEPT [1393158:430773800]
:INPUT ACCEPT [10010:964561]
:FORWARD ACCEPT [1373513:429123314]
:OUTPUT ACCEPT [5995:832516]
:POSTROUTING ACCEPT [1377946:428562020]
-A FORWARD -p tcp -m tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu
-A FORWARD -p tcp -m tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu
-A FORWARD -p tcp -m tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu
-A FORWARD -p tcp -m tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu
-A POSTROUTING -o eth0 -j TTL --ttl-set 64
-A POSTROUTING -o eth0 -j TTL --ttl-set 64
-A POSTROUTING -o eth0 -j TTL --ttl-set 64
-A POSTROUTING -o eth0 -j TTL --ttl-set 64
COMMIT
# Completed on Thu Nov 28 09:29:39 2013
# Generated by iptables-save v1.4.14 on Thu Nov 28 09:29:39 2013
*nat
:PREROUTING ACCEPT [30380:2232719]
:INPUT ACCEPT [5600:510280]
:OUTPUT ACCEPT [14:995]
:POSTROUTING ACCEPT [454:23645]
-A PREROUTING -d 92.50.***.***/32 -p udp -m multiport --dports 1194 -j DNAT --to-destination 192.168.1.10:1194
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 21 -j DNAT --to-destination 192.168.1.4:21
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 433 -j DNAT --to-destination 192.168.1.4:433
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 80 -j DNAT --to-destination 192.168.1.3:80
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 7778 -j DNAT --to-destination 192.168.1.103:3389
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 6363 -j DNAT --to-destination 192.168.1.46:3389
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 7776 -j DNAT --to-destination 192.168.1.103:3389
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 3355 -j DNAT --to-destination 192.168.1.4:3389
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 5566 -j DNAT --to-destination 192.168.1.2:3389
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 3472 -j DNAT --to-destination 192.168.1.5:3389
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 3131 -j DNAT --to-destination 192.168.1.223:3389
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 3366 -j DNAT --to-destination 192.168.1.32:3389
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 9966 -j DNAT --to-destination 192.168.1.112:3389
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 4455 -j DNAT --to-destination 192.168.1.3:3389
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 4242 -j DNAT --to-destination 192.168.1.42:3389
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 5444 -j DNAT --to-destination 192.168.1.129:3389
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 3488 -j DNAT --to-destination 192.168.1.125:22
-A PREROUTING -p tcp -m tcp --dport 6881:6889 -j DNAT --to-destination 192.168.1.22
-A PREROUTING -p tcp -m tcp --dport 6881:6889 -j DNAT --to-destination 192.168.1.32
-A PREROUTING -p tcp -m tcp --dport 4000:4100 -j DNAT --to-destination 192.168.1.4
-A PREROUTING -d 92.50.***.***/32 -p udp -m multiport --dports 1194 -j DNAT --to-destination 192.168.1.10:1194
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 21 -j DNAT --to-destination 192.168.1.4:21
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 433 -j DNAT --to-destination 192.168.1.4:433
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 80 -j DNAT --to-destination 192.168.1.3:80
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 7778 -j DNAT --to-destination 192.168.1.103:3389
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 6363 -j DNAT --to-destination 192.168.1.46:3389
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 7776 -j DNAT --to-destination 192.168.1.103:3389
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 3355 -j DNAT --to-destination 192.168.1.4:3389
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 5566 -j DNAT --to-destination 192.168.1.2:3389
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 3472 -j DNAT --to-destination 192.168.1.5:3389
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 3131 -j DNAT --to-destination 192.168.1.223:3389
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 3366 -j DNAT --to-destination 192.168.1.32:3389
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 9966 -j DNAT --to-destination 192.168.1.112:3389
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 4455 -j DNAT --to-destination 192.168.1.3:3389
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 4242 -j DNAT --to-destination 192.168.1.42:3389
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 5444 -j DNAT --to-destination 192.168.1.129:3389
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 3488 -j DNAT --to-destination 192.168.1.125:22
-A PREROUTING -d 92.50.***.***/32 -p udp -m multiport --dports 1194 -j DNAT --to-destination 192.168.1.10:1194
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 21 -j DNAT --to-destination 192.168.1.4:21
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 433 -j DNAT --to-destination 192.168.1.4:433
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 80 -j DNAT --to-destination 192.168.1.3:80
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 7778 -j DNAT --to-destination 192.168.1.103:3389
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 6363 -j DNAT --to-destination 192.168.1.46:3389
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 7776 -j DNAT --to-destination 192.168.1.103:3389
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 3355 -j DNAT --to-destination 192.168.1.4:3389
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 5566 -j DNAT --to-destination 192.168.1.2:3389
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 3472 -j DNAT --to-destination 192.168.1.5:3389
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 3131 -j DNAT --to-destination 192.168.1.223:3389
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 3366 -j DNAT --to-destination 192.168.1.32:3389
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 9966 -j DNAT --to-destination 192.168.1.112:3389
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 4455 -j DNAT --to-destination 192.168.1.3:3389
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 4242 -j DNAT --to-destination 192.168.1.42:3389
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 5444 -j DNAT --to-destination 192.168.1.129:3389
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 3488 -j DNAT --to-destination 192.168.1.125:22
-A PREROUTING -d 92.50.***.***/32 -p udp -m multiport --dports 1194 -j DNAT --to-destination 192.168.1.10:1194
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 21 -j DNAT --to-destination 192.168.1.4:21
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 433 -j DNAT --to-destination 192.168.1.4:433
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 80 -j DNAT --to-destination 192.168.1.3:80
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 7778 -j DNAT --to-destination 192.168.1.103:3389
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 6363 -j DNAT --to-destination 192.168.1.46:3389
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 7776 -j DNAT --to-destination 192.168.1.103:3389
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 3355 -j DNAT --to-destination 192.168.1.4:3389
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 5566 -j DNAT --to-destination 192.168.1.2:3389
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 3472 -j DNAT --to-destination 192.168.1.5:3389
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 3131 -j DNAT --to-destination 192.168.1.223:3389
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 3366 -j DNAT --to-destination 192.168.1.32:3389
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 9966 -j DNAT --to-destination 192.168.1.112:3389
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 4455 -j DNAT --to-destination 192.168.1.3:3389
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 4242 -j DNAT --to-destination 192.168.1.42:3389
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 5444 -j DNAT --to-destination 192.168.1.129:3389
-A PREROUTING -d 92.50.***.***/32 -p tcp -m multiport --dports 3488 -j DNAT --to-destination 192.168.1.125:22
-A POSTROUTING -s 192.168.1.0/24 -j MASQUERADE
COMMIT
# Completed on Thu Nov 28 09:29:39 2013
# Generated by iptables-save v1.4.14 on Thu Nov 28 09:29:39 2013
*filter
:INPUT ACCEPT [9377:916450]
:FORWARD ACCEPT [1370641:427012370]
:OUTPUT ACCEPT [6082:849779]
-A INPUT -i eth0 -p tcp -m tcp --dport 22 -j ACCEPT
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -i eth1 -p icmp -m icmp --icmp-type 8 -j ACCEPT
-A FORWARD -s 192.168.1.0/28 -i eth0 -o eth1 -j ACCEPT
-A FORWARD -i eth1 -m string --string "vkontakte.ru" --algo kmp --to 65535 -m iprange --src-range 192.168.1.1-192.168.1.21 -j DROP
-A FORWARD -i eth1 -m string --string "vkontakte.ru" --algo kmp --to 65535 -m iprange --src-range 192.168.1.22-192.168.1.22 -j ACCEPT
-A FORWARD -i eth1 -m string --string "vkontakte.ru" --algo kmp --to 65535 -m iprange --src-range 192.168.1.23-192.168.1.31 -j DROP
-A FORWARD -i eth1 -m string --string "vkontakte.ru" --algo kmp --to 65535 -m iprange --src-range 192.168.1.32-192.168.1.32 -j ACCEPT
-A FORWARD -i eth1 -m string --string "vkontakte.ru" --algo kmp --to 65535 -m iprange --src-range 192.168.1.33-192.168.1.128 -j DROP
-A FORWARD -i eth1 -m string --string "vkontakte.ru" --algo kmp --to 65535 -m iprange --src-range 192.168.1.129-192.168.1.129 -j ACCEPT
-A FORWARD -i eth1 -m string --string "vkontakte.ru" --algo kmp --to 65535 -m iprange --src-range 192.168.1.130-192.168.1.208 -j DROP
-A FORWARD -i eth1 -m string --string "vkontakte.ru" --algo kmp --to 65535 -m iprange --src-range 192.168.1.209-192.168.1.209 -j ACCEPT
-A FORWARD -i eth1 -m string --string "vkontakte.ru" --algo kmp --to 65535 -m iprange --src-range 192.168.1.210-192.168.1.245 -j DROP
-A FORWARD -i eth1 -m string --string "vk.com" --algo kmp --to 65535 -m iprange --src-range 192.168.1.1-192.168.1.21 -j DROP
-A FORWARD -i eth1 -m string --string "vk.com" --algo kmp --to 65535 -m iprange --src-range 192.168.1.22-192.168.1.22 -j ACCEPT
-A FORWARD -i eth1 -m string --string "vk.com" --algo kmp --to 65535 -m iprange --src-range 192.168.1.23-192.168.1.31 -j DROP
-A FORWARD -i eth1 -m string --string "vk.com" --algo kmp --to 65535 -m iprange --src-range 192.168.1.32-192.168.1.32 -j ACCEPT
-A FORWARD -i eth1 -m string --string "vk.com" --algo kmp --to 65535 -m iprange --src-range 192.168.1.33-192.168.1.128 -j DROP
-A FORWARD -i eth1 -m string --string "vk.com" --algo kmp --to 65535 -m iprange --src-range 192.168.1.129-192.168.1.129 -j ACCEPT
-A FORWARD -i eth1 -m string --string "vk.com" --algo kmp --to 65535 -m iprange --src-range 192.168.1.130-192.168.1.208 -j DROP
-A FORWARD -i eth1 -m string --string "vk.com" --algo kmp --to 65535 -m iprange --src-range 192.168.1.209-192.168.1.209 -j ACCEPT
-A FORWARD -i eth1 -m string --string "vk.com" --algo kmp --to 65535 -m iprange --src-range 192.168.1.210-192.168.1.245 -j DROP
-A FORWARD -i eth1 -m string --string "odnoklasniki.ru" --algo kmp --to 65535 -m iprange --src-range 192.168.1.1-192.168.1.21 -j DROP
-A FORWARD -i eth1 -m string --string "odnoklasniki.ru" --algo kmp --to 65535 -m iprange --src-range 192.168.1.22-192.168.1.22 -j ACCEPT
-A FORWARD -i eth1 -m string --string "odnoklasniki.ru" --algo kmp --to 65535 -m iprange --src-range 192.168.1.23-192.168.1.31 -j DROP
-A FORWARD -i eth1 -m string --string "odnoklasniki.ru" --algo kmp --to 65535 -m iprange --src-range 192.168.1.32-192.168.1.32 -j ACCEPT
-A FORWARD -i eth1 -m string --string "odnoklasniki.ru" --algo kmp --to 65535 -m iprange --src-range 192.168.1.33-192.168.1.128 -j DROP
-A FORWARD -i eth1 -m string --string "odnoklasniki.ru" --algo kmp --to 65535 -m iprange --src-range 192.168.1.129-192.168.1.129 -j ACCEPT
-A FORWARD -i eth1 -m string --string "odnoklasniki.ru" --algo kmp --to 65535 -m iprange --src-range 192.168.1.130-192.168.1.208 -j DROP
-A FORWARD -i eth1 -m string --string "odnoklasniki.ru" --algo kmp --to 65535 -m iprange --src-range 192.168.1.209-192.168.1.209 -j ACCEPT
-A FORWARD -i eth1 -m string --string "odnoklasniki.ru" --algo kmp --to 65535 -m iprange --src-range 192.168.1.210-192.168.1.245 -j DROP
-A FORWARD -i eth1 -m string --string "video.yandex.ru" --algo kmp --to 65535 -m iprange --src-range 192.168.1.1-192.168.1.21 -j DROP
-A FORWARD -i eth1 -m string --string "video.yandex.ru" --algo kmp --to 65535 -m iprange --src-range 192.168.1.22-192.168.1.22 -j ACCEPT
-A FORWARD -i eth1 -m string --string "video.yandex.ru" --algo kmp --to 65535 -m iprange --src-range 192.168.1.23-192.168.1.31 -j DROP
-A FORWARD -i eth1 -m string --string "video.yandex.ru" --algo kmp --to 65535 -m iprange --src-range 192.168.1.32-192.168.1.32 -j ACCEPT
-A FORWARD -i eth1 -m string --string "video.yandex.ru" --algo kmp --to 65535 -m iprange --src-range 192.168.1.33-192.168.1.128 -j DROP
-A FORWARD -i eth1 -m string --string "video.yandex.ru" --algo kmp --to 65535 -m iprange --src-range 192.168.1.129-192.168.1.129 -j ACCEPT
-A FORWARD -i eth1 -m string --string "video.yandex.ru" --algo kmp --to 65535 -m iprange --src-range 192.168.1.130-192.168.1.208 -j DROP
-A FORWARD -i eth1 -m string --string "video.yandex.ru" --algo kmp --to 65535 -m iprange --src-range 192.168.1.209-192.168.1.209 -j ACCEPT
-A FORWARD -i eth1 -m string --string "video.yandex.ru" --algo kmp --to 65535 -m iprange --src-range 192.168.1.210-192.168.1.245 -j DROP
-A FORWARD -i eth1 -m string --string "youtube.com" --algo kmp --to 65535 -m iprange --src-range 192.168.1.1-192.168.1.21 -j DROP
-A FORWARD -i eth1 -m string --string "youtube.com" --algo kmp --to 65535 -m iprange --src-range 192.168.1.22-192.168.1.22 -j ACCEPT
-A FORWARD -i eth1 -m string --string "youtube.com" --algo kmp --to 65535 -m iprange --src-range 192.168.1.23-192.168.1.31 -j DROP
-A FORWARD -i eth1 -m string --string "youtube.com" --algo kmp --to 65535 -m iprange --src-range 192.168.1.32-192.168.1.32 -j ACCEPT
-A FORWARD -i eth1 -m string --string "youtube.com" --algo kmp --to 65535 -m iprange --src-range 192.168.1.33-192.168.1.128 -j DROP
-A FORWARD -i eth1 -m string --string "youtube.com" --algo kmp --to 65535 -m iprange --src-range 192.168.1.129-192.168.1.129 -j ACCEPT
-A FORWARD -i eth1 -m string --string "youtube.com" --algo kmp --to 65535 -m iprange --src-range 192.168.1.130-192.168.1.208 -j DROP
-A FORWARD -i eth1 -m string --string "youtube.com" --algo kmp --to 65535 -m iprange --src-range 192.168.1.209-192.168.1.209 -j ACCEPT
-A FORWARD -i eth1 -m string --string "youtube.com" --algo kmp --to 65535 -m iprange --src-range 192.168.1.210-192.168.1.245 -j DROP
COMMIT
# Completed on Thu Nov 28 09:29:39 2013
root@vip-routing:~#



Client:

(Нажмите, чтобы показать/скрыть)

Код: [Выделить]

C:\Users\Vlad>tracepath ya.ru
"tracepath" не является внутренней или внешней
командой, исполняемой программой или пакетным файлом.

C:\Users\Vlad>nslookup ya.ru 8.8.8.8
╤хЁтхЁ:  google-public-dns-a.google.com
Address:  8.8.8.8

Не заслуживающий доверия ответ:
╚ь :     ya.ru
Addresses:  213.180.204.3
          77.88.21.3
          87.250.250.3
          87.250.250.203
          87.250.251.3
          93.158.134.3
          93.158.134.203
          213.180.193.3


C:\Users\Vlad>nslookup ya.ru
DNS request timed out.
    timeout was 2 seconds.
╤хЁтхЁ:  UnKnown
Address:  192.168.1.7

DNS request timed out.
    timeout was 2 seconds.
DNS request timed out.
    timeout was 2 seconds.
Не заслуживающий доверия ответ:
╚ь :     ya.ru
Addresses:  87.250.250.3
          87.250.250.203
          87.250.251.3
          93.158.134.3
          93.158.134.203
          213.180.193.3
          213.180.204.3
          77.88.21.3


C:\Users\Vlad>ip r
"ip" не является внутренней или внешней
командой, исполняемой программой или пакетным файлом.

C:\Users\Vlad>ip a
"ip" не является внутренней или внешней

Над корявыми блокировками не смейтесь)) нужно было срочно сделать... что нагуглил сразу поставил)

[ArcFi]

На клиенте, как я понял, венды.
Тогда там же ещё вот:

Код: [Выделить]

ipconfig /all & route print

[FoLk]

Код: [Выделить]

C:\Users\Vlad>ipconfig /all & route print

Настройка протокола IP для Windows

   Имя компьютера  . . . . . . . . . : Vlad_PC
   Основной DNS-суффикс  . . . . . . :
   Тип узла. . . . . . . . . . . . . : Гибридный
   IP-маршрутизация включена . . . . : Нет
   WINS-прокси включен . . . . . . . : Нет

Ethernet adapter Подключение по локальной сети 2:

   DNS-суффикс подключения . . . . . :
   Описание. . . . . . . . . . . . . : TAP-Win32 Adapter V9
   Физический адрес. . . . . . . . . : 00-FF-FC-DA-C3-B5
   DHCP включен. . . . . . . . . . . : Да
   Автонастройка включена. . . . . . : Да
   Локальный IPv6-адрес канала . . . : fe80::b032:2b19:afdc:9806%13(Основной)
   IPv4-адрес. . . . . . . . . . . . : 192.199.1.4(Основной)
   Маска подсети . . . . . . . . . . : 255.255.255.0
   Основной шлюз. . . . . . . . . :
   IAID DHCPv6 . . . . . . . . . . . : 318832636
   DUID клиента DHCPv6 . . . . . . . : 00-01-00-01-1A-08-EF-BE-08-60-6E-67-9E-D

   DNS-серверы. . . . . . . . . . . : fec0:0:0:ffff::1%1
                                       fec0:0:0:ffff::2%1
                                       fec0:0:0:ffff::3%1
   NetBios через TCP/IP. . . . . . . . : Включен

Ethernet adapter Подключение по локальной сети:

   DNS-суффикс подключения . . . . . :
   Описание. . . . . . . . . . . . . : Realtek PCIe GBE Family Controller
   Физический адрес. . . . . . . . . : 08-60-6E-67-9E-D2
   DHCP включен. . . . . . . . . . . : Нет
   Автонастройка включена. . . . . . : Да
   Локальный IPv6-адрес канала . . . : fe80::a954:3e3e:31be:5cec%11(Основной)
   IPv4-адрес. . . . . . . . . . . . : 192.168.1.22(Основной)
   Маска подсети . . . . . . . . . . : 255.255.255.0
   Основной шлюз. . . . . . . . . : 192.168.1.1
   IAID DHCPv6 . . . . . . . . . . . : 235429998
   DUID клиента DHCPv6 . . . . . . . : 00-01-00-01-1A-08-EF-BE-08-60-6E-67-9E-D

   DNS-серверы. . . . . . . . . . . : 192.168.1.7
   NetBios через TCP/IP. . . . . . . . : Включен
===========================================================================
Список интерфейсов
 13...00 ff fc da c3 b5 ......TAP-Win32 Adapter V9
 11...08 60 6e 67 9e d2 ......Realtek PCIe GBE Family Controller
  1...........................Software Loopback Interface 1
===========================================================================

IPv4 таблица маршрута
===========================================================================
Активные маршруты:
Сетевой адрес           Маска сети      Адрес шлюза       Интерфейс  Метрика
          0.0.0.0          0.0.0.0      192.168.1.1     192.168.1.22    276
        127.0.0.0        255.0.0.0         On-link         127.0.0.1    306
        127.0.0.1  255.255.255.255         On-link         127.0.0.1    306
  127.255.255.255  255.255.255.255         On-link         127.0.0.1    306
      192.168.1.0    255.255.255.0         On-link      192.168.1.22    276
     192.168.1.22  255.255.255.255         On-link      192.168.1.22    276
    192.168.1.255  255.255.255.255         On-link      192.168.1.22    276
      192.199.1.0    255.255.255.0         On-link       192.199.1.4    286
      192.199.1.4  255.255.255.255         On-link       192.199.1.4    286
    192.199.1.255  255.255.255.255         On-link       192.199.1.4    286
        224.0.0.0        240.0.0.0         On-link         127.0.0.1    306
        224.0.0.0        240.0.0.0         On-link      192.168.1.22    276
        224.0.0.0        240.0.0.0         On-link       192.199.1.4    286
  255.255.255.255  255.255.255.255         On-link         127.0.0.1    306
  255.255.255.255  255.255.255.255         On-link      192.168.1.22    276
  255.255.255.255  255.255.255.255         On-link       192.199.1.4    286
===========================================================================
Постоянные маршруты:
  Сетевой адрес            Маска    Адрес шлюза      Метрика
          0.0.0.0          0.0.0.0      192.168.1.1  По умолчанию
===========================================================================

IPv6 таблица маршрута
===========================================================================
Активные маршруты:
 Метрика   Сетевой адрес            Шлюз
  1    306 ::1/128                  On-link
 11    276 fe80::/64                On-link
 13    286 fe80::/64                On-link
 11    276 fe80::a954:3e3e:31be:5cec/128
                                    On-link
 13    286 fe80::b032:2b19:afdc:9806/128
                                    On-link
  1    306 ff00::/8                 On-link
 11    276 ff00::/8                 On-link
 13    286 ff00::/8                 On-link
===========================================================================
Постоянные маршруты:
  Отсутствует

C:\Users\Vlad>


[AnrDaemon]

-A POSTROUTING -s 192.168.1.0/24 -j MASQUERADE

Ошибка.
Должно быть
-A POSTROUTING -o $INET_IFACE -j MASQUERADE

[FoLk]

-A POSTROUTING -s 192.168.1.0/24 -j MASQUERADE

Ошибка.
Должно быть
-A POSTROUTING -o $INET_IFACE -j MASQUERADE

У меня вообще такого нету:

Код: [Выделить]

#NAT
#Должен быть включен ip forwarding
iptables -A FORWARD -i eth0 -o eth1 -s 192.168.1.0/28 -j ACCEPT
iptables -A POSTROUTING -t nat -j MASQUERADE iptables -A INPUT -i eth1 -p icmp --icmp-type 8 -j ACCEPT

Что нужно подправить?

[AnrDaemon]

Понятия не имею, я вам не онлайн-интерпретатор скриптов.

[ArcFi]

А меня ещё настораживают таймауты DNS-ответов и IPv6 DNS-серверы в настройках подключения клиента.
И дублирование правил iptables — тоже ничего хорошего.

[FoLk]

доменный сервер на венде, со старым роутером работал без проблем.
Походу дошло до меня
-A POSTROUTING -s 192.168.1.0/24 -j MASQUERADE

эта строка со старых правил запущенна была, похоже с ней проблема..

[Kost]

Задержки при запросе новых страниц очень часто связаны с ожиданием ответа от DNS сервера.
Посмотрите, что у вас стоит первой стройкой с параметром nameserver в /etc/resolv.conf
Вот почему то уверен что так

nameserver 127.0.0.1
nameserver IP_вашег_win_сервера

От сюда и ожидание.
Ну и попробуйте на время выставить сервера от google (nameserver 8.8.8.8) первым и выполнить команду

Код: [Выделить]

dig ya.ru
Посмотрите отклик.
Пользователь решил продолжить мысль 29 Ноября 2013, 19:52:22:ЗЫ
И куда же смотрит DNS сервер на win машине? Уж не на роутер ли, который вы убрали )))

[AnrDaemon]

Зачем что-то выставлять, если можно покопать напрямую на конкретном сервере?

dig [@address] name. [type]

[FoLk]

Задержки при запросе новых страниц очень часто связаны с ожиданием ответа от DNS сервера.
Посмотрите, что у вас стоит первой стройкой с параметром nameserver в /etc/resolv.conf
Вот почему то уверен что так

Код: [Выделить]

nameserver 192.168.1.7
nameserver 192.168.1.8
search ufaman.ru

И куда же смотрит DNS сервер на win машине? Уж не на роутер ли, который вы убрали )))

Реально! Большое спасибо, на днях попробую посмотреть видимо из за этого!


Пользователь решил продолжить мысль 02 Декабря 2013, 13:06:51:Kost, Да вы правы, прежний админ настроил DNS на старый роутер... А я голову чуть не сломал. Теперь все быстро грузится и можно настраивать все как угодно! Большое вам спасибо!