В сети вижу чужие компы

[prasik]

убунтовая машина (10.10 server) подключена к корбине и выходит в сеть по VPN.
При открытии сетевого окруженя на любом компе, я вижу помимо своих компов в сети, еще кучу других не своих.
как сие дело закрыть??

[fisher74]

Судя по всему убунтовая машина шлюзом выступает.
Покажите

Код: [Выделить]

sudo iptables-save

[AnrDaemon]

как сие дело закрыть??

Какое дело? И как конкретно подключаны к сети? (В смысле - куда провода идут.)

[prasik]

# Generated by iptables-save v1.4.4 on Wed Apr 27 12:10:54 2011
*mangle
:PREROUTING ACCEPT [104398:6013936]
:INPUT ACCEPT [104363:6006816]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [165839:236109198]
:POSTROUTING ACCEPT [165895:236117583]
-A FORWARD -p tcp -m tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu
COMMIT
# Completed on Wed Apr 27 12:10:54 2011
# Generated by iptables-save v1.4.4 on Wed Apr 27 12:10:54 2011
*nat
:PREROUTING ACCEPT [774:110711]
:OUTPUT ACCEPT [88:10939]
:POSTROUTING ACCEPT [88:10939]
-A PREROUTING -i eth1 -p tcp -m tcp --dport 8080 -j REDIRECT --to-ports 3128
-A PREROUTING -i eth1 -p tcp -m tcp --dport 80 -j REDIRECT --to-ports 3128
-A PREROUTING -d 172.16.3.227/32 -i eth0 -p tcp -m tcp --dport 3389 -j DNAT --to-destination 172.16.3.13
-A POSTROUTING -o eth0 -j MASQUERADE
-A POSTROUTING -o ppp0 -j MASQUERADE
-A POSTROUTING -o eth0 -j MASQUERADE
COMMIT
# Completed on Wed Apr 27 12:10:54 2011
# Generated by iptables-save v1.4.4 on Wed Apr 27 12:10:54 2011
*filter
:INPUT ACCEPT [104363:6006816]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [165839:236109198]
-A FORWARD -d 172.16.3.0/24 -i eth1 -p tcp -m tcp -j ACCEPT
COMMIT
# Completed on Wed Apr 27 12:10:54 2011


eth0 DHCP от провайдера
eth1 сеть
ppp0

[AnrDaemon]

*filter
:INPUT DROP [0:0]
:FORWARD DROP [0:0]
:OUTPUT ACCEPT [0:0]
-A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -i eth1 -j ACCEPT
-A FORWARD -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -d 172.16.3.0/24 -i eth1 -j ACCEPT
COMMIT

Дальше допиливайте по желанию.

[prasik]

получается я просто не дописал.*??

[AnrDaemon]

Получается, у вас вообще не настроена фильтрация была.
При
*filter
:FORWARD ACCEPT [0:0]

правило
-A FORWARD -d 172.16.3.0/24 -i eth1 -p tcp -m tcp -j ACCEPT
имеет примерно столько же смысла, как нотариально заверенное разрешение солнцу - светить.

[prasik]

Будим читать маны внимательней (

[prasik]

помучился и вот что имеем
1-server
eth0 DHCP провайдера
eth1 сеть
ppp0 VPN провайдера
tun0 Openvpn между двумя серверами

2-server
eth0 DHCP провайдера
eth1 сеть
tun0 Openvpn между двумя серверами

конфигурация одинаковая для двух серверов.
x.x.x.x это реальные IP
тока учимся (какие ошибки)

(Нажмите, чтобы показать/скрыть)

*nat
:OUTPUT ACCEPT [0:0]
:PREROUTING ACCEPT [0:0]
:POSTROUTING ACCEPT [0:0]
-A POSTROUTING -o eth0 -j MASQUERADE
-A POSTROUTING -o ppp0 -j MASQUERADE
-A PREROUTING -p tcp -m multiport -i eth1 -j REDIRECT --to-ports 3128 --dports 80,8080
-A PREROUTING -p tcp -m tcp -d 13.13.13.1/32 -i ppp+ --dport 3389 -j DNAT --to-destination 172.16.4.248
-A PREROUTING -p tcp -m tcp -d 13.13.13.1/32 -i ppp+ --dport 25 -j DNAT --to-destination 172.16.4.248
-A PREROUTING -p tcp -m tcp -d 13.13.13.1/32 -i ppp+ --dport 110 -j DNAT --to-destination 172.16.4.248
-A PREROUTING -p tcp -m tcp -d 13.13.13.1/32 -i ppp+ --dport 8010 -j DNAT --to-destination 172.16.4.248
-A PREROUTING -p tcp -m tcp -d 13.13.13.1/32 -i ppp+ --dport 8100 -j DNAT --to-destination 172.16.4.248
-A PREROUTING -p tcp -m tcp -d x.x.x.x/32 -i eth1 --dport 25 -j DNAT --to-destination 172.16.4.248
-A PREROUTING -p tcp -m tcp -d x.x.x.x/32 -i eth1 --dport 110 -j DNAT --to-destination 172.16.4.248
-A PREROUTING -p tcp -m tcp -d x.x.x.x/32 -i eth1 --dport 3389 -j DNAT --to-destination 172.16.4.248
COMMIT
*filter
:FORWARD DROP [0:0]
:INPUT DROP [0:0]
:OUTPUT ACCEPT [0:0]
-A INPUT -i lo -j ACCEPT
-A INPUT -s 127.0.0.0/8 ! -i lo -j DROP
-A INPUT -m state --state INVALID -j DROP
-A INPUT -m conntrack -j ACCEPT  --ctstate RELATED,ESTABLISHED
-A INPUT -p tcp -m tcp -m state ! --tcp-flags FIN,SYN,RST,ACK SYN --state NEW -j DROP
-A INPUT -p icmp -m icmp -i eth0 --icmp-type 0 -j ACCEPT
-A INPUT -p icmp -m icmp -i ppp0 --icmp-type 0 -j ACCEPT
-A INPUT -p icmp -m icmp -i eth1 --icmp-type 0 -j ACCEPT
-A INPUT -p icmp -m icmp -i eth1 --icmp-type 8 -j ACCEPT
-A INPUT -p tcp -m tcp -i eth0 --dport 10000 -j ACCEPT
-A INPUT -p tcp -m tcp -i eth1 --dport 10000 -j ACCEPT
-A INPUT -p tcp -m tcp -s 172.16.4.0/24 -i eth1 --dport 3128 --sport 1024:65535 -j ACCEPT
-A INPUT -p udp -m udp -s 172.16.4.0/24 -i eth1 --dport 53 --sport 1024:65535 -j ACCEPT
-A INPUT -p tcp -m tcp -s 172.16.4.0/24 -i eth1 --dport 2202 --sport 1024:65535 -j ACCEPT
-A INPUT -p tcp -m tcp -d x.x.x.x/32 -i ppp0 --dport 2202 --sport 1024:65535 -j ACCEPT
-A INPUT -p tcp -m tcp -i eth0 --dport 2202 --sport 1024:65535 -j ACCEPT
-A INPUT -p udp -m udp -s x.x.x.x/32 -i eth0 --dport 1194 -j ACCEPT
-A INPUT -p udp -m udp -s x.x.x.x/32 -i eth0 --dport 1194 -j ACCEPT
-A INPUT -i tun0 -j ACCEPT
-A INPUT -p udp -m udp --dport 53 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 53 -j ACCEPT
-A INPUT -p tcp -m tcp -i eth1 --dport 1723 -j ACCEPT
-A INPUT -p tcp -m state -m tcp -i eth0 --dport 1723 --state NEW,ESTABLISHED -j ACCEPT
-A FORWARD -m state --state INVALID -j DROP
-A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -i tun0 -j ACCEPT
-A FORWARD -o tun0 -j ACCEPT
-A FORWARD -d 172.16.4.0/24 -i eth1 -j ACCEPT
-A FORWARD -p tcp -m tcp -s 172.16.4.0/24 --dport 5190 -j ACCEPT
-A FORWARD -p tcp -m tcp -s 172.16.4.0/24 -d x.x.x.x/32 --dport 110 -j ACCEPT
-A FORWARD -p tcp -m tcp -s 172.16.4.0/24 -d x.x.x.x/32 --dport 25 -j ACCEPT
-A FORWARD -p tcp -m tcp -s 172.16.4.0/24 -d 94.100.177.6/32 --dport 110 -j ACCEPT
-A FORWARD -p udp -m udp -s 172.16.4.0/24 -d 94.100.177.6/32 --dport 110 -j ACCEPT
-A FORWARD -p tcp -m tcp -s 172.16.4.0/24 -d 94.100.177.1/32 --dport 25 -j ACCEPT
-A FORWARD -p udp -m udp -s 172.16.4.0/24 -d 94.100.177.1/32 --dport 25 -j ACCEPT
-A FORWARD -p tcp -m tcp -s 172.16.4.0/24 -d 94.100.177.7/32 --dport 110 -j ACCEPT
-A FORWARD -p udp -m udp -s 172.16.4.0/24 -d 94.100.177.7/32 --dport 110 -j ACCEPT
-A FORWARD -p tcp -m tcp -s 172.16.4.0/24 -d 94.100.177.4/32 --dport 25 -j ACCEPT
-A FORWARD -p udp -m udp -s 172.16.4.0/24 -d 94.100.177.4/32 --dport 25 -j ACCEPT
-A FORWARD -p tcp -m tcp -s 172.16.4.0/24 -d 94.100.177.9/32 --dport 110 -j ACCEPT
-A FORWARD -p udp -m udp -s 172.16.4.0/24 -d 94.100.177.9/32 --dport 110 -j ACCEPT
-A FORWARD -p tcp -m tcp -s 172.16.4.0/24 -d 94.100.177.2/32 --dport 25 -j ACCEPT
-A FORWARD -p udp -m udp -s 172.16.4.0/24 -d 94.100.177.2/32 --dport 25 -j ACCEPT
-A FORWARD -p tcp -m tcp -s 172.16.4.0/24 -d 194.186.83.75/32 --dport 1352 -j ACCEPT
-A FORWARD -p tcp -m tcp -s 172.16.4.0/24 -d 194.186.83.76/32 --dport 1352 -j ACCEPT
-A FORWARD -p tcp -m tcp -d 172.16.4.50/32 -i ppp+ --dport 3389 -j ACCEPT
-A FORWARD -p udp -m udp -s 172.16.4.248/32 --dport 53 -j ACCEPT
-A FORWARD -p tcp -m tcp -s 172.16.4.248/32 --dport 53 -j ACCEPT
-A FORWARD -p udp -m udp -s 172.16.4.248/32 --dport 25 -j ACCEPT
-A FORWARD -p tcp -m tcp -s 172.16.4.248/32 --dport 25 -j ACCEPT
-A FORWARD -p tcp -m tcp -s 172.16.4.248/32 --dport 2525 -j ACCEPT
-A FORWARD -p tcp -m tcp -s 172.16.4.248/32 --dport 110 -j ACCEPT
-A FORWARD -p udp -m udp -s 172.16.4.248/32 --dport 110 -j ACCEPT
-A FORWARD -p tcp -m tcp -d 172.16.4.248/32 -i ppp+ --dport 25 -j ACCEPT
-A FORWARD -p tcp -m tcp -d 172.16.4.248/32 -i ppp+ --dport 110 -j ACCEPT
-A FORWARD -p tcp -m tcp -d 172.16.4.248/32 -i ppp+ --dport 8010 -j ACCEPT
-A FORWARD -p tcp -m tcp -d 172.16.4.248/32 -i ppp+ --dport 8100 -j ACCEPT
-A FORWARD -p tcp -m tcp -d 172.16.4.248/32 -i eth1 --dport 25 -j ACCEPT
-A FORWARD -p tcp -m tcp -d 172.16.4.248/32 -i eth1 --dport 110 -j ACCEPT
-A FORWARD -p tcp -m tcp -s 172.16.4.10/32 --dport 443 -j ACCEPT
-A FORWARD -p tcp -m tcp -s 172.16.4.59/32 --dport 443 -j ACCEPT
-A FORWARD -p tcp -m tcp -s 172.16.4.6/32 --dport 443 -j ACCEPT
-A FORWARD -p tcp -m tcp -s 172.16.4.178/32 --dport 443 -j ACCEPT
-A FORWARD -p tcp -m tcp -s 172.16.4.178/32 --dport 110 -j ACCEPT
-A FORWARD -p icmp -s 172.16.4.0/24 -j ACCEPT
-A FORWARD -p tcp -m tcp -s 172.16.4.13/32 --dport 21 -j ACCEPT
-A FORWARD -s 172.16.3.34/32 -d 93.191.13.103/32 -j ACCEPT
-A FORWARD -s 172.16.3.34/32 -d 93.191.13.100/32 -j ACCEPT
-A FORWARD -p tcp -m tcp -s 172.16.4.0/24 --dport 9531 -j ACCEPT
-A FORWARD -s 172.16.4.178/32 -j ACCEPT
-A FORWARD -s 172.16.4.54/32 -j ACCEPT
-A FORWARD -p tcp -m tcp -s 172.16.4.2/32 --dport 443 -j ACCEPT
-A FORWARD -p tcp -m tcp -s 172.16.4.34/32 --dport 443 -j ACCEPT
-A FORWARD -p tcp -m tcp -s 172.16.4.54/32 --dport 443 -j ACCEPT
-A FORWARD -p tcp -m tcp -s 172.16.4.54/32 --dport 11371 -j ACCEPT
-A FORWARD -s 172.16.4.54/32 -j ACCEPT
-A FORWARD -s 13.13.13.0/24 -d 13.13.13.0/24 -j ACCEPT
-A FORWARD -p tcp -m tcp -s 172.16.4.247/32 -d 195.239.59.213/32 --dport 9210 -j ACCEPT
-A FORWARD -p tcp -m tcp -s 172.16.4.246/32 -d 195.239.59.213/32 --dport 9210 -j ACCEPT
-A FORWARD -p tcp -m tcp -d 172.16.4.248/32 -i eth1 --dport 3389 -j ACCEPT
-A OUTPUT -o lo -j ACCEPT
-A OUTPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A OUTPUT -p tcp -m tcp -m state ! --tcp-flags FIN,SYN,RST,ACK SYN --state NEW -j DROP
-A OUTPUT -p udp -j ACCEPT
-A OUTPUT -p icmp -f -j DROP
-A OUTPUT -p icmp -m icmp -o eth0 --icmp-type 8 -j ACCEPT
-A OUTPUT -p icmp -m icmp -o ppp0 --icmp-type 8 -j ACCEPT
-A OUTPUT -p icmp -m icmp -o eth1 --icmp-type 8 -j ACCEPT
-A OUTPUT -p icmp -m icmp -o eth1 --icmp-type 0 -j ACCEPT
-A OUTPUT -p tcp -m tcp -o eth1 --dport 1024:65535 --sport 3128 -j ACCEPT
-A OUTPUT -p udp -m udp -o eth1 --dport 1024:65535 --sport 53 -j ACCEPT
-A OUTPUT -s x.x.x.x/32 -o eth0 -j ACCEPT
-A OUTPUT -s 172.16.4.56/32 -o eth1 -j ACCEPT
-A OUTPUT -s 192.168.254.1/32 -o tun0 -j ACCEPT
-A OUTPUT -p tcp -m tcp -o eth1 --dport 1024:65535 --sport 2202 -j ACCEPT
-A OUTPUT -p tcp -m tcp -o ppp0 --dport 1024:65535 --sport 2202 -j ACCEPT
-A OUTPUT -p tcp -m tcp -o eth0 --dport 1024:65535 --sport 2202 -j ACCEPT
-A OUTPUT -s x.x.x.x/32 -o ppp0 -j ACCEPT
-A OUTPUT -p gre -o eth0 -j ACCEPT
-A OUTPUT -p tcp -m state -m tcp -o eth0 --sport 1723 --state NEW,ESTABLISHED -j ACCEPT
-A OUTPUT -o eth0 -j ACCEPT
-A OUTPUT -o tun0 -j ACCEPT
-A OUTPUT -p udp -m udp --sport 53 -j ACCEPT
-A OUTPUT -p tcp -m tcp --sport 53 -j ACCEPT
COMMIT
*mangle
:PREROUTING ACCEPT [6551:7062911]
:INPUT ACCEPT [6487:7057705]
:FORWARD ACCEPT [44:3344]
:OUTPUT ACCEPT [1392:3932247]
:POSTROUTING ACCEPT [1426:3935111]
COMMIT

[fisher74]

спрячьте под спойлер простынку

[AnrDaemon]

спрячьте под спойлер простынку

This.

OUTPUT уберите вообще. Это бред.
Особенно
-A OUTPUT -p tcp -m tcp -m state ! --tcp-flags FIN,SYN,RST,ACK SYN --state NEW -j DROP
и
-A OUTPUT -p icmp -f -j DROP
Что вы вообще пытаетесь этим блокировать, вы задумывались?

В форварде то же самое, ну уже разрешили ESTABLISHED,RELATED соединения, добавьте туда DNAT и успокойтесь...

-A INPUT -s 127.0.0.0/8 ! -i lo -j DROP
порадовало. Интересно, оно вообще будет работать? На сколько я знаю, таким макаром до компа просто не достучаться, на маршрутизации порежет.

Если вам так хочется закрыться от ICMP флуда, это делается другими способами. Корректно отфильтровать ICMP запросы - задачка не на три-четыре правила. Далеко не...

-A INPUT -p tcp -m tcp -m state ! --tcp-flags FIN,SYN,RST,ACK SYN --state NEW -j DROP
Этого я не понял. Если вы уже сбросили INVALID, зачем тратить время на дополнительный анализ глупостей?

Webmin я бы не стал открывать в мир без крайней на то необходимости.

Почему просто не сделать
-A INPUT -i eth1 -j ACCEPT
? Там есть что-то, что может повалить сервер? Ну, закройте доступ к очевидно лишним портам предварительно (3306 тот же).

-A FORWARD -o tun0 -j ACCEPT
не нужно (и даже вредно) - ошибётесь один раз, и трафик из интернета может оказаться в тоннеле.

-A FORWARD -d 172.16.4.0/24 -i eth1 -j ACCEPT
Что есть сеть 127.16.4.0/24 ?

-A FORWARD -p tcp -m tcp -s 172.16.4.0/24 --dport 5190 -j ACCEPT
Не понял. Если 172.16.... это "интернет" или тоннель, то DNAT это правило перекрывает, если нет, то как это вообще может очутится в FORWARD?

-A FORWARD -p tcp -m tcp -d 172.16.4.50/32 -i ppp+ --dport 3389 -j ACCEPT
Опять не понял. У вас ещё и VPN сервер стоит? Судя по INPUT - да. Тогда правила надо писать совсем не так, и это тема для отдельного разговора.

Короче, в ваших правилах сам чёрт ногу сломит.
Начните с простого набора, и добавляйте правила по необходимости(!!! а не по желанию).

Если нет времени тестировать вживую, пишите сюда. Помогу разобраться.
Ввиду того, что у вас внешний адрес находится на отдельном интерфейсе, использовать его в правилах нет никакого смысла - указывайте интерфейс.

Нат не трогал. Фильтры:

(Нажмите, чтобы показать/скрыть)

*filter
:FORWARD DROP [0:0]
:INPUT DROP [0:0]
:OUTPUT ACCEPT [0:0]
-A INPUT -m conntrack --ctstate INVALID -j DROP
-A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -p icmp -j ACCEPT
-A INPUT -p tcp -m tcp -i eth0 --dport 10000 -j ACCEPT
-A INPUT -p tcp -m tcp -i eth1 --dport 10000 -j ACCEPT
-A INPUT -i eth1 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 2202 --sport 1024:65535 -j ACCEPT
-A INPUT -p udp -m udp -s x.x.x.x/32 -i eth0 --dport 1194 -j ACCEPT
-A INPUT -p udp -m udp -s x.x.x.x/32 -i eth0 --dport 1194 -j ACCEPT
-A INPUT -i tun0 -j ACCEPT
-A INPUT -p udp -m udp --dport 53 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 53 -j ACCEPT
-A INPUT -i eth+ -p tcp -m tcp --dport 1723 -m conntrack --ctstate NEW -j ACCEPT
-A FORWARD -m conntrack --ctstate INVALID -j DROP
-A FORWARD -m conntrack --ctstate DNAT,RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -i tun0 -j ACCEPT
-A FORWARD -s 172.16.4.178/32 -j ACCEPT
-A FORWARD -s 172.16.4.54/32 -j ACCEPT
-A FORWARD -d 172.16.4.0/24 -i eth1 -j ACCEPT
-A FORWARD -p tcp -m tcp -s 172.16.4.0/24 --dport 5190 -j ACCEPT
-A FORWARD -p tcp -m tcp -s 172.16.4.13/32 --dport 21 -j ACCEPT
-A FORWARD -p tcp -m tcp -s 172.16.4.0/24 --dport 9531 -j ACCEPT
-A FORWARD -p tcp -m tcp -s 172.16.4.2/32 --dport 443 -j ACCEPT
-A FORWARD -p tcp -m tcp -s 172.16.4.34/32 --dport 443 -j ACCEPT
-A FORWARD -p tcp -m tcp -s 172.16.4.54/32 --dport 443 -j ACCEPT
-A FORWARD -p tcp -m tcp -s 172.16.4.54/32 --dport 11371 -j ACCEPT
-A FORWARD -p tcp -m tcp -s 172.16.4.247/32 -d 195.239.59.213/32 --dport 9210 -j ACCEPT
-A FORWARD -p tcp -m tcp -s 172.16.4.246/32 -d 195.239.59.213/32 --dport 9210 -j ACCEPT
-A FORWARD -p tcp -m tcp -d 172.16.4.248/32 -i eth1 --dport 3389 -j ACCEPT
COMMIT

Я не уверен, что не порезал что-то серьёзное... лучше бы ты сам хозяйским глазом просмотрел и переписал концовки.
Самое начало обоих цепочек должно остаться без изменения:

(Нажмите, чтобы показать/скрыть)

*filter
:FORWARD DROP [0:0]
:INPUT DROP [0:0]
:OUTPUT ACCEPT [0:0]
-A INPUT -m conntrack --ctstate INVALID -j DROP
-A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -i eth1 -j ACCEPT
-A INPUT -i tun0 -j ACCEPT
-A INPUT -p icmp -j ACCEPT
-A INPUT ...
-A INPUT -i eth+ -p tcp -m tcp --dport 1723 -m conntrack --ctstate NEW -j ACCEPT
-A INPUT ...
-A FORWARD -m conntrack --ctstate INVALID -j DROP
-A FORWARD -m conntrack --ctstate DNAT,RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -i eth1 -j ACCEPT
-A FORWARD -i tun0 -s сеть.удалённого/офиса -j ACCEPT // надеюсь, тоннель не маскарадится?
-A FORWARD ....
-A FORWARD -s 172.16.4.178/32 -j ACCEPT
-A FORWARD -s 172.16.4.54/32 -j ACCEPT
-A FORWARD -d 172.16.4.0/24 -i eth1 -j ACCEPT
-A FORWARD ...
COMMIT

В общем случае, я рекомендую соблюдать порядок правил:
1. Правила-ловушки. Печально, что ВЕСЬ трафик будет через них просеиваться, но это реально необходимо. Можно немного выиграть, разбив второй пункт на два, но не буду забивать тебе голову.
2. Правила, разрешающие уже установленные соединения. Предполагается, что установлены они с нашего разрешения, так что нет смысла тратить процессор на повторный анализ трафика.
3. Правила по входящим интерфейсам. (-i lo и иже с ними) Только абсолютно доверенные интерфейсы.
4. Правила по входящим портам. (--dport 80 и так далее)
5. Правила по адресам источника. (-s 192.168.0.0/16 и так далее)
6. Дальше любой другой бред, пришедший мне в голову.

Перед тем, как писать новое правило, сформулируй, нафига вообще козе боян. В три строчка: "Это правило делает вот это. Написано для того, чтобы работало вот это. Если его не будет, вот то сломается."
И проверь, не попадает ли оно в радиус уже написанных правил.

[prasik]

буду разбираться.

Это правило я собирал из двух. Так как сервера должны быть взаимозаменяемыми, то весь софт и настройки на них одинаковые.
Samba, Webmin, DHCP, VPN Server, OpenVPN , Squid, DNS. Позже будет еще пара служб.

Со старыми конфигами все работает, но их переписывали уже 100 раз и я попытался оптимизировать, но как понял не удачно.
Могу выложить конфиги по отдельности.

[AnrDaemon]

Раз у вас стоит VPN сервер И интернет приходит по VPN, надо очень внимательно писать правила для ppp интерфейсов.
И в первую очередь зафиксировать интернетовский PPP на каком-то большом номере, чтобы не получилось так, что ваш пользователь, подключившись в момент падения интернета, получил ppp0.

[prasik]

Vpn приходит только на один сервер. на который как раз пользователи не логинятся..

[dj--alex]

если бы я видел чужие компы- первое бычто я попробовал - поадминить их)))))