iptables + PPTP

[AlwaysHungry]

Прошу прощения за чайниковский вопрос, но ответ очень нужен. Буду рад ссылке на предыдущее обсуждение или мануал.
Итак, есть сервер (пока Альтлинукс, но задрал - буду переходить на Ubuntu).
Есть два интерфейса eth0 - смотрит наружу (районная сеть с возможностью доступа в инет)
eth1 - смотрит внутрь - локальная сеть.
То, что по eth0 - нужно по максимуму отрубать - там полно праздного народу, любящего посканить порты, по подбирать пароли и прочие безобразники.
Но через eth0 поднимается интерфейс ppp1 - PPTP для доступа к Интернет.
Итак, собственно вопрос: как будут проходить пакеты в/из Интернета по цепочкам iptables?
То есть, к примеру, входящий пакет из интернета будет проходить сначала по INPUT от ppp1, потом по INPUT от eth0 или наоборот?
Если я закрою исходящий HTTP траффик через eth0, будет ли это правило рубить исходящий HTTP по ppp1?
То есть, нужна примерная схема прохождения пакетов по интерфейсу ppp1, поднятому на eth0.
Заранее спасибо.

[podkovyrsty]

с точки зрения netfilter => iptables
все интерфейсы, которые вам покажет ifconfig, равнозначны.
то, что какой-то из них работает через другой - это дело десятое.

у вас есть канал eth0(ваш) - ethX(провайдера) на физическом уровне - кабель.
сквозь него установлен туннель ppp0(ваш) - pppX(провайдера)
если смотреть на уровне eth0 - то система видит соединение установленное pptpd, а что там внутри сессии передается - она не знает. Тобишь вы разрешаете pppd ходить сквозь eth0 и всё.
после того, как отработает pptpd, появляется интерфейс ppp0, пакеты из него идут так же, как если бы у вас третья сетевуха - eth2.
Все эти интерфейсы - один и тот же уровень.

По этой же причине цепочка INPUT одна, все пакеты из всех интерфейсов попадают в неё сразу.
OUTPUT точно так же одна для всех исходящих пакетов, неважно в какой интерфейс.
И FORWARD один для всех проходящих пакетов, неважно откуда и куда.

За подробностями в man iptables.

[AlwaysHungry]

По этой же причине цепочка INPUT одна, все пакеты из всех интерфейсов попадают в неё сразу.
OUTPUT точно так же одна для всех исходящих пакетов, неважно в какой интерфейс.
И FORWARD один для всех проходящих пакетов, неважно откуда и куда.

Вот, пожалуй, самое главное. Я это подозревал, просто требовалось подтверждение. То есть, практически, сначала пакеты фильтруем, потом раскладываем по логическим интерфейсам, а потом отправляем на физическое оборудование.

За подробностями в man iptables.

Есть способ лучше 400-страничный iptables tutorial