Низкая скорость интернета в локалке за роутером iptables ping

[winmasta]

Есть роутер который раздает интернет в локалку посредством iptables, скорость на самом роутер как и должна быть, а на локальных машинах меньше в 6-7 раз и пинг тяжелее, что можно посмотреть ?

[nucleon]

вывод iptables-save в студию
+ конфигурацию компа-шлюза
+ для проверки проверить интернет на локальном ПК без антивируса.

[winmasta]

iptables-save

(Нажмите, чтобы показать/скрыть)

# Generated by iptables-save v1.4.4 on Tue Oct 25 16:33:47 2011
*mangle
:PREROUTING ACCEPT [596196582:390897648200]
:INPUT ACCEPT [178325213:53620439954]
:FORWARD ACCEPT [417241739:336918893020]
:OUTPUT ACCEPT [302858994:306891642547]
:POSTROUTING ACCEPT [720082474:643807857571]
-A FORWARD -o ppp0 -p tcp -m tcp --tcp-flags SYN,RST SYN -m tcpmss --mss 1357:65535 -j TCPMSS --clamp-mss-to-pmtu
-A OUTPUT -o ppp0 -p tcp -m tcp --tcp-flags SYN,RST SYN -m tcpmss --mss 1357:65535 -j TCPMSS --clamp-mss-to-pmtu
COMMIT
# Completed on Tue Oct 25 16:33:47 2011
# Generated by iptables-save v1.4.4 on Tue Oct 25 16:33:47 2011
*nat
:PREROUTING ACCEPT [2406376:287177273]
:POSTROUTING ACCEPT [5428420:527881508]
:OUTPUT ACCEPT [3877:419003]
-A PREROUTING -p tcp -m tcp --dport 6881 -j DNAT --to-destination 192.168.1.9
-A PREROUTING -p udp -m udp --dport 6881 -j DNAT --to-destination 192.168.1.9
-A PREROUTING -i eth1 -p tcp -m tcp --dport 3389 -j DNAT --to-destination 192.168.1.2
-A PREROUTING -i eth1 -p tcp -m tcp --dport 1723 -j DNAT --to-destination 192.168.1.1
-A POSTROUTING -o eth1 -j SNAT --to-source 217.18.140.170
-A POSTROUTING -o ppp0 -j MASQUERADE
COMMIT
# Completed on Tue Oct 25 16:33:47 2011
# Generated by iptables-save v1.4.4 on Tue Oct 25 16:33:47 2011
*filter
:INPUT DROP [40879:4447794]
:FORWARD DROP [0:0]
:OUTPUT DROP [0:0]
:allowed - [0:0]
:bad_tcp_packets - [0:0]
:icmp_packets - [0:0]
:odnokl - [0:0]
:tcp_packets - [0:0]
:udp_packets - [0:0]
-A INPUT -p tcp -j bad_tcp_packets
-A INPUT -s 192.168.1.0/24 -i eth0 -j ACCEPT
-A INPUT -s 127.0.0.1/32 -i lo -j ACCEPT
-A INPUT -s 192.168.1.1/32 -i lo -j ACCEPT
-A INPUT -s 217.18.140.170/32 -i lo -j ACCEPT
-A INPUT -i eth1 -p gre -j ACCEPT
-A INPUT -i eth0 -p udp -m udp --sport 68 --dport 67 -j ACCEPT
-A INPUT -d 217.18.140.170/32 -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -i eth1 -p tcp -j tcp_packets
-A INPUT -i eth1 -p udp -j udp_packets
-A INPUT -i eth1 -p icmp -j icmp_packets
-A INPUT -i ppp0 -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -i ppp0 -p tcp -j tcp_packets
-A INPUT -i ppp0 -p udp -j udp_packets
-A INPUT -i ppp0 -p icmp -j icmp_packets
-A INPUT -d 224.0.0.0/8 -i eth1 -j DROP
-A INPUT -m limit --limit 3/min --limit-burst 3 -j LOG --log-prefix "IPT INPUT packet died: " --log-level 7
-A FORWARD -p tcp -j bad_tcp_packets
-A FORWARD -i ppp0 -j odnokl
-A FORWARD -i eth0 -j ACCEPT
-A FORWARD -i ppp5 -j ACCEPT
-A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -d 192.168.1.9/32 -p tcp -m tcp --dport 6881 -j ACCEPT
-A FORWARD -d 192.168.1.9/32 -p udp -m udp --dport 6881 -j ACCEPT
-A FORWARD -d 192.168.1.2/32 -i eth1 -o eth0 -p tcp -m tcp --dport 3389 -j ACCEPT
-A FORWARD -m limit --limit 3/min --limit-burst 3 -j LOG --log-prefix "IPT FORWARD packet died: " --log-level 7
-A OUTPUT -p tcp -j bad_tcp_packets
-A OUTPUT -s 127.0.0.1/32 -j ACCEPT
-A OUTPUT -s 192.168.1.1/32 -j ACCEPT
-A OUTPUT -s 217.18.140.170/32 -j ACCEPT
-A OUTPUT -o ppp0 -j ACCEPT
-A OUTPUT -p icmp -m icmp --icmp-type 3 -j ACCEPT
-A OUTPUT -p icmp -m icmp --icmp-type 8 -j ACCEPT
-A OUTPUT -p icmp -m icmp --icmp-type 11 -j ACCEPT
-A OUTPUT -p tcp -m tcp --sport 6881 -j ACCEPT
-A OUTPUT -p udp -m udp --sport 6881 -j ACCEPT
-A OUTPUT -m limit --limit 3/min --limit-burst 3 -j LOG --log-prefix "IPT OUTPUT packet died: " --log-level 7
-A allowed -p tcp -m tcp --tcp-flags FIN,SYN,RST,ACK SYN -j ACCEPT
-A allowed -p tcp -m state --state RELATED,ESTABLISHED -j ACCEPT
-A allowed -p tcp -j DROP
-A bad_tcp_packets -d 192.168.1.9/32 -p tcp -m tcp --dport 6881 -j ACCEPT
-A bad_tcp_packets -s 192.168.1.9/32 -p tcp -j ACCEPT
-A bad_tcp_packets -p tcp -m tcp --tcp-flags SYN,ACK SYN,ACK -m state --state NEW -j REJECT --reject-with tcp-reset
-A bad_tcp_packets -p tcp -m tcp ! --tcp-flags FIN,SYN,RST,ACK SYN -m state --state NEW -j LOG --log-prefix "New not syn:"
-A bad_tcp_packets -p tcp -m tcp ! --tcp-flags FIN,SYN,RST,ACK SYN -m state --state NEW -j DROP
-A icmp_packets -p icmp -m icmp --icmp-type 3 -j ACCEPT
-A icmp_packets -p icmp -m icmp --icmp-type 8 -j ACCEPT
-A icmp_packets -p icmp -m icmp --icmp-type 11 -j ACCEPT
-A odnokl -s 217.20.154.42/32 -d 192.168.1.2/32 -j DROP
-A odnokl -s 217.20.154.43/32 -d 192.168.1.2/32 -j DROP
-A odnokl -s 217.20.154.44/32 -d 192.168.1.2/32 -j DROP
-A odnokl -s 217.20.154.45/32 -d 192.168.1.2/32 -j DROP
-A odnokl -s 217.20.154.45/32 -d 192.168.1.4/32 -j DROP
-A odnokl -s 217.20.154.42/32 -d 192.168.1.4/32 -j DROP
-A odnokl -s 217.20.154.43/32 -d 192.168.1.4/32 -j DROP
-A odnokl -s 217.20.154.44/32 -d 192.168.1.4/32 -j DROP
-A odnokl -s 217.20.154.44/32 -d 192.168.1.5/32 -j DROP
-A odnokl -s 217.20.154.45/32 -d 192.168.1.5/32 -j DROP
-A odnokl -s 217.20.154.42/32 -d 192.168.1.5/32 -j DROP
-A odnokl -s 217.20.154.43/32 -d 192.168.1.5/32 -j DROP
-A odnokl -s 217.20.154.43/32 -d 192.168.1.6/32 -j DROP
-A odnokl -s 217.20.154.44/32 -d 192.168.1.6/32 -j DROP
-A odnokl -s 217.20.154.45/32 -d 192.168.1.6/32 -j DROP
-A odnokl -s 217.20.154.42/32 -d 192.168.1.6/32 -j DROP
-A odnokl -s 217.20.154.42/32 -d 192.168.1.7/32 -j DROP
-A odnokl -s 217.20.154.43/32 -d 192.168.1.7/32 -j DROP
-A odnokl -s 217.20.154.44/32 -d 192.168.1.7/32 -j DROP
-A odnokl -s 217.20.154.45/32 -d 192.168.1.7/32 -j DROP
-A tcp_packets -s 192.168.1.1/32 -p tcp -m tcp --dport 53 -j allowed
-A tcp_packets -i eth1 -p tcp -m tcp --dport 1723 -j allowed
-A tcp_packets -s 192.168.1.1/32 -p tcp -m tcp --dport 80 -j allowed
-A tcp_packets -p tcp -m tcp --sport 6881 -j ACCEPT
-A tcp_packets -p tcp -m tcp --dport 6881 -j ACCEPT
-A udp_packets -s 192.168.1.1/32 -p udp -m udp --dport 53 -j ACCEPT
-A udp_packets -s 192.168.1.1/32 -p udp -m udp --dport 123 -j ACCEPT
-A udp_packets -p udp -m udp --sport 6881 -j ACCEPT
-A udp_packets -p udp -m udp --dport 6881 -j ACCEPT
-A udp_packets -d 217.18.140.255/32 -i eth1 -p udp -m udp --dport 135:139 -j DROP
-A udp_packets -d 255.255.255.255/32 -i eth1 -p udp -m udp --dport 67:68 -j DROP
COMMIT
# Completed on Tue Oct 25 16:33:47 2011

конфигурация роутера
ОС - Ubuntu Desktop 10.04.3 (ядро 2.6.32-34)
ЦП - Intel Core i5-2400
Память - 4 ГБ
HDD - SDD 60 ГБ

на локальном ПК нет антивируса (Ubuntu)

[xeon_greg]

-A OUTPUT -o ppp0 -p tcp -m tcp --tcp-flags SYN,RST SYN -m tcpmss --mss 1357:65535 -j TCPMSS --clamp-mss-to-pmtu

это еще зачем?

--mss 1357:65535

достаточно 1400:1536
вы вод iptables лучше показывать

Код: [Выделить]

sudo iptables-save -cподк конфигурацией имеется в виду, ifconfig, ip route, топология сети, к какому интерфейсу что подключено.. но так навскидку в правилах - мрак, зачем дропать OUTPUT?

[nucleon]

в место DROP иcпользуй REJECT

пакеты попадающие под правило DROP умирают по таймауту... зачем столько ждать

[winmasta]

-A OUTPUT -o ppp0 -p tcp -m tcp --tcp-flags SYN,RST SYN -m tcpmss --mss 1357:65535 -j TCPMSS --clamp-mss-to-pmtu

без этого ppp0 постоянно падал, исправлю на 1400:1536 (старые цифры кстати нашел на этом форуме)

sudo iptables-save -c

(Нажмите, чтобы показать/скрыть)

# Generated by iptables-save v1.4.4 on Tue Oct 25 17:50:51 2011
*mangle
:PREROUTING ACCEPT [620124937:412975019913]
:INPUT ACCEPT [186417931:62245267832]
:FORWARD ACCEPT [433068009:350370431519]
:OUTPUT ACCEPT [312864130:312150174558]
:POSTROUTING ACCEPT [745913428:662517795555]
[0:0] -A FORWARD -o ppp0 -p tcp -m tcp --tcp-flags SYN,RST SYN -m tcpmss --mss 1357:65535 -j TCPMSS --clamp-mss-to-pmtu
[0:0] -A OUTPUT -o ppp0 -p tcp -m tcp --tcp-flags SYN,RST SYN -m tcpmss --mss 1357:65535 -j TCPMSS --clamp-mss-to-pmtu
COMMIT
# Completed on Tue Oct 25 17:50:51 2011
# Generated by iptables-save v1.4.4 on Tue Oct 25 17:50:51 2011
*nat
:PREROUTING ACCEPT [2452152:292609823]
:POSTROUTING ACCEPT [5486914:532208490]
:OUTPUT ACCEPT [3981:428357]
[40:2064] -A PREROUTING -p tcp -m tcp --dport 6881 -j DNAT --to-destination 192.168.1.9
[68:6105] -A PREROUTING -p udp -m udp --dport 6881 -j DNAT --to-destination 192.168.1.9
[0:0] -A PREROUTING -i eth1 -p tcp -m tcp --dport 3389 -j DNAT --to-destination 192.168.1.2
[0:0] -A PREROUTING -i eth1 -p tcp -m tcp --dport 1723 -j DNAT --to-destination 192.168.1.1
[14:1004] -A POSTROUTING -o eth1 -j SNAT --to-source 217.18.140.170
[0:0] -A POSTROUTING -o ppp0 -j MASQUERADE
COMMIT
# Completed on Tue Oct 25 17:50:51 2011
# Generated by iptables-save v1.4.4 on Tue Oct 25 17:50:51 2011
*filter
:INPUT DROP [102:126954]
:FORWARD DROP [0:0]
:OUTPUT DROP [9:3161]
:allowed - [0:0]
:bad_tcp_packets - [0:0]
:icmp_packets - [0:0]
:odnokl - [0:0]
:tcp_packets - [0:0]
:udp_packets - [0:0]
[16:1228] -A INPUT -p tcp -j bad_tcp_packets
[5:592] -A INPUT -s 192.168.1.0/24 -i eth0 -j ACCEPT
[0:0] -A INPUT -s 127.0.0.1/32 -i lo -j ACCEPT
[0:0] -A INPUT -s 192.168.1.1/32 -i lo -j ACCEPT
[0:0] -A INPUT -s 217.18.140.170/32 -i lo -j ACCEPT
[113:100000] -A INPUT -i eth1 -p gre -j ACCEPT
[0:0] -A INPUT -i eth0 -p udp -m udp --sport 68 --dport 67 -j ACCEPT
[13:1692] -A INPUT -d 217.18.140.170/32 -m state --state RELATED,ESTABLISHED -j ACCEPT
[0:0] -A INPUT -i eth1 -p tcp -j tcp_packets
[0:0] -A INPUT -i eth1 -p udp -j udp_packets
[0:0] -A INPUT -i eth1 -p icmp -j icmp_packets
[0:0] -A INPUT -i ppp0 -m state --state RELATED,ESTABLISHED -j ACCEPT
[0:0] -A INPUT -i ppp0 -p tcp -j tcp_packets
[0:0] -A INPUT -i ppp0 -p udp -j udp_packets
[0:0] -A INPUT -i ppp0 -p icmp -j icmp_packets
[0:0] -A INPUT -d 224.0.0.0/8 -i eth1 -j DROP
[0:0] -A INPUT -m limit --limit 3/min --limit-burst 3 -j LOG --log-prefix "IPT INPUT packet died: " --log-level 7
[187:19625] -A FORWARD -p tcp -j bad_tcp_packets
[0:0] -A FORWARD -i ppp0 -j odnokl
[38:5744] -A FORWARD -i eth0 -j ACCEPT
[0:0] -A FORWARD -i ppp5 -j ACCEPT
[20:3064] -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT
[0:0] -A FORWARD -d 192.168.1.9/32 -p tcp -m tcp --dport 6881 -j ACCEPT
[15:1574] -A FORWARD -d 192.168.1.9/32 -p udp -m udp --dport 6881 -j ACCEPT
[0:0] -A FORWARD -d 192.168.1.2/32 -i eth1 -o eth0 -p tcp -m tcp --dport 3389 -j ACCEPT
[0:0] -A FORWARD -m limit --limit 3/min --limit-burst 3 -j LOG --log-prefix "IPT FORWARD packet died: " --log-level 7
[11:1408] -A OUTPUT -p tcp -j bad_tcp_packets
[0:0] -A OUTPUT -s 127.0.0.1/32 -j ACCEPT
[53:10115] -A OUTPUT -s 192.168.1.1/32 -j ACCEPT
[21:1430] -A OUTPUT -s 217.18.140.170/32 -j ACCEPT
[0:0] -A OUTPUT -o ppp0 -j ACCEPT
[0:0] -A OUTPUT -p icmp -m icmp --icmp-type 3 -j ACCEPT
[0:0] -A OUTPUT -p icmp -m icmp --icmp-type 8 -j ACCEPT
[0:0] -A OUTPUT -p icmp -m icmp --icmp-type 11 -j ACCEPT
[0:0] -A OUTPUT -p tcp -m tcp --sport 6881 -j ACCEPT
[0:0] -A OUTPUT -p udp -m udp --sport 6881 -j ACCEPT
[0:0] -A OUTPUT -m limit --limit 3/min --limit-burst 3 -j LOG --log-prefix "IPT OUTPUT packet died: " --log-level 7
[0:0] -A allowed -p tcp -m tcp --tcp-flags FIN,SYN,RST,ACK SYN -j ACCEPT
[0:0] -A allowed -p tcp -m state --state RELATED,ESTABLISHED -j ACCEPT
[0:0] -A allowed -p tcp -j DROP
[98:10450] -A bad_tcp_packets -d 192.168.1.9/32 -p tcp -m tcp --dport 6881 -j ACCEPT
[93:9533] -A bad_tcp_packets -s 192.168.1.9/32 -p tcp -j ACCEPT
[0:0] -A bad_tcp_packets -p tcp -m tcp --tcp-flags SYN,ACK SYN,ACK -m state --state NEW -j REJECT --reject-with tcp-reset
[0:0] -A bad_tcp_packets -p tcp -m tcp ! --tcp-flags FIN,SYN,RST,ACK SYN -m state --state NEW -j LOG --log-prefix "New not syn:"
[0:0] -A bad_tcp_packets -p tcp -m tcp ! --tcp-flags FIN,SYN,RST,ACK SYN -m state --state NEW -j DROP
[0:0] -A icmp_packets -p icmp -m icmp --icmp-type 3 -j ACCEPT
[0:0] -A icmp_packets -p icmp -m icmp --icmp-type 8 -j ACCEPT
[0:0] -A icmp_packets -p icmp -m icmp --icmp-type 11 -j ACCEPT
[0:0] -A odnokl -s 217.20.154.43/32 -d 192.168.1.2/32 -j REJECT --reject-with icmp-port-unreachable
[0:0] -A odnokl -s 217.20.154.44/32 -d 192.168.1.2/32 -j REJECT --reject-with icmp-port-unreachable
[0:0] -A odnokl -s 217.20.154.45/32 -d 192.168.1.2/32 -j REJECT --reject-with icmp-port-unreachable
[0:0] -A odnokl -s 217.20.154.42/32 -d 192.168.1.2/32 -j REJECT --reject-with icmp-port-unreachable
[0:0] -A odnokl -s 217.20.154.42/32 -d 192.168.1.4/32 -j REJECT --reject-with icmp-port-unreachable
[0:0] -A odnokl -s 217.20.154.43/32 -d 192.168.1.4/32 -j REJECT --reject-with icmp-port-unreachable
[0:0] -A odnokl -s 217.20.154.44/32 -d 192.168.1.4/32 -j REJECT --reject-with icmp-port-unreachable
[0:0] -A odnokl -s 217.20.154.45/32 -d 192.168.1.4/32 -j REJECT --reject-with icmp-port-unreachable
[0:0] -A odnokl -s 217.20.154.45/32 -d 192.168.1.5/32 -j REJECT --reject-with icmp-port-unreachable
[0:0] -A odnokl -s 217.20.154.42/32 -d 192.168.1.5/32 -j REJECT --reject-with icmp-port-unreachable
[0:0] -A odnokl -s 217.20.154.43/32 -d 192.168.1.5/32 -j REJECT --reject-with icmp-port-unreachable
[0:0] -A odnokl -s 217.20.154.44/32 -d 192.168.1.5/32 -j REJECT --reject-with icmp-port-unreachable
[0:0] -A odnokl -s 217.20.154.44/32 -d 192.168.1.6/32 -j REJECT --reject-with icmp-port-unreachable
[0:0] -A odnokl -s 217.20.154.45/32 -d 192.168.1.6/32 -j REJECT --reject-with icmp-port-unreachable
[0:0] -A odnokl -s 217.20.154.42/32 -d 192.168.1.6/32 -j REJECT --reject-with icmp-port-unreachable
[0:0] -A odnokl -s 217.20.154.43/32 -d 192.168.1.6/32 -j REJECT --reject-with icmp-port-unreachable
[0:0] -A odnokl -s 217.20.154.43/32 -d 192.168.1.7/32 -j REJECT --reject-with icmp-port-unreachable
[0:0] -A odnokl -s 217.20.154.44/32 -d 192.168.1.7/32 -j REJECT --reject-with icmp-port-unreachable
[0:0] -A odnokl -s 217.20.154.45/32 -d 192.168.1.7/32 -j REJECT --reject-with icmp-port-unreachable
[0:0] -A odnokl -s 217.20.154.42/32 -d 192.168.1.7/32 -j REJECT --reject-with icmp-port-unreachable
[0:0] -A tcp_packets -s 192.168.1.1/32 -p tcp -m tcp --dport 53 -j allowed
[0:0] -A tcp_packets -i eth1 -p tcp -m tcp --dport 1723 -j allowed
[0:0] -A tcp_packets -s 192.168.1.1/32 -p tcp -m tcp --dport 80 -j allowed
[0:0] -A tcp_packets -p tcp -m tcp --sport 6881 -j ACCEPT
[0:0] -A tcp_packets -p tcp -m tcp --dport 6881 -j ACCEPT
[0:0] -A udp_packets -s 192.168.1.1/32 -p udp -m udp --dport 53 -j ACCEPT
[0:0] -A udp_packets -s 192.168.1.1/32 -p udp -m udp --dport 123 -j ACCEPT
[0:0] -A udp_packets -p udp -m udp --sport 6881 -j ACCEPT
[0:0] -A udp_packets -p udp -m udp --dport 6881 -j ACCEPT
[0:0] -A udp_packets -d 217.18.140.255/32 -i eth1 -p udp -m udp --dport 135:139 -j DROP
[0:0] -A udp_packets -d 255.255.255.255/32 -i eth1 -p udp -m udp --dport 67:68 -j DROP
COMMIT
# Completed on Tue Oct 25 17:50:51 2011

зачем дропать OUTPUT

если про это
-A bad_tcp_packets -p tcp -m tcp ! --tcp-flags FIN,SYN,RST,ACK SYN -m state --state NEW -j DROP
то как поступить сменить на REJECT или убрать правило совсем ? (iptables делал из примера одного очень известного руководства)

ifconfig

(Нажмите, чтобы показать/скрыть)

eth0      Link encap:Ethernet  HWaddr 00:25:22:a4:b5:ec 
          inet addr:192.168.1.1  Bcast:192.168.1.255  Mask:255.255.255.0
          inet6 addr: fe80::225:22ff:fea4:b5ec/64 Scope:Link
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:270027138 errors:0 dropped:0 overruns:0 frame:0
          TX packets:175418500 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000
          RX bytes:2803687348 (2.8 GB)  TX bytes:731531216 (731.5 MB)
          Interrupt:37 Base address:0x8000

eth1      Link encap:Ethernet  HWaddr 00:25:22:a4:b5:ee 
          inet addr:217.18.140.170  Bcast:217.18.140.171  Mask:255.255.255.252
          inet6 addr: fe80::225:22ff:fea4:b5ee/64 Scope:Link
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:189052490 errors:0 dropped:0 overruns:0 frame:0
          TX packets:314200670 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000
          RX bytes:2423221462 (2.4 GB)  TX bytes:997486622 (997.4 MB)
          Interrupt:38 Base address:0x8000

lo        Link encap:Локальная петля (Loopback) 
          inet addr:127.0.0.1  Mask:255.0.0.0
          inet6 addr: ::1/128 Scope:Host
          UP LOOPBACK RUNNING  MTU:16436  Metric:1
          RX packets:294 errors:0 dropped:0 overruns:0 frame:0
          TX packets:294 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:0
          RX bytes:26450 (26.4 KB)  TX bytes:26450 (26.4 KB)

ppp0      Link encap:Протокол PPP (Point-to-Point Protocol) 
          inet addr:213.210.92.207  P-t-P:217.18.130.200  Mask:255.255.255.255
          UP POINTOPOINT RUNNING NOARP MULTICAST  MTU:1500  Metric:1
          RX packets:251445 errors:0 dropped:0 overruns:0 frame:0
          TX packets:233649 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:3
          RX bytes:286566078 (286.5 MB)  TX bytes:133342531 (133.3 MB)

eth0 - локалка eth1 - wan ppp0 - интернет

ip route

(Нажмите, чтобы показать/скрыть)

217.70.106.29 via 217.18.140.169 dev eth1
90.189.192.29 via 217.18.140.169 dev eth1
217.18.130.200 via 217.18.140.169 dev eth1  src 217.18.140.170
217.18.130.200 dev ppp0  proto kernel  scope link  src 213.210.92.207
217.70.106.24 via 217.18.140.169 dev eth1
217.70.119.194 via 217.18.140.169 dev eth1
213.228.87.5 via 217.18.140.169 dev eth1
217.18.130.131 via 217.18.140.169 dev eth1
95.191.130.5 via 217.18.140.169 dev eth1
217.18.140.168/30 dev eth1  proto kernel  scope link  src 217.18.140.170
77.235.211.192/29 via 217.18.140.169 dev eth1
81.1.229.72/29 via 217.18.140.169 dev eth1
217.8.224.80/28 via 217.18.140.169 dev eth1
62.109.11.176/28 via 217.18.140.169 dev eth1
217.8.237.112/28 via 217.18.140.169 dev eth1
217.18.139.240/28 via 217.18.140.169 dev eth1
213.243.97.192/27 via 217.18.140.169 dev eth1
80.89.133.32/27 via 217.18.140.169 dev eth1
82.200.114.0/27 via 217.18.140.169 dev eth1
81.1.229.96/27 via 217.18.140.169 dev eth1
82.200.114.160/27 via 217.18.140.169 dev eth1
82.200.5.0/27 via 217.18.140.169 dev eth1
82.200.24.0/26 via 217.18.140.169 dev eth1
90.189.193.0/25 via 217.18.140.169 dev eth1
81.1.229.128/25 via 217.18.140.169 dev eth1
79.175.39.0/25 via 217.18.140.169 dev eth1
81.1.232.0/24 via 217.18.140.169 dev eth1
91.226.73.0/24 via 217.18.140.169 dev eth1
82.200.73.0/24 via 217.18.140.169 dev eth1
82.200.74.0/24 via 217.18.140.169 dev eth1
82.200.75.0/24 via 217.18.140.169 dev eth1
82.200.76.0/24 via 217.18.140.169 dev eth1
82.200.77.0/24 via 217.18.140.169 dev eth1
82.200.123.0/24 via 217.18.140.169 dev eth1
82.200.122.0/24 via 217.18.140.169 dev eth1
90.189.192.0/24 via 217.18.140.169 dev eth1
212.192.163.0/24 via 217.18.140.169 dev eth1
81.1.209.0/24 via 217.18.140.169 dev eth1
81.1.208.0/24 via 217.18.140.169 dev eth1
193.8.203.0/24 via 217.18.140.169 dev eth1
82.200.17.0/24 via 217.18.140.169 dev eth1
91.216.211.0/24 via 217.18.140.169 dev eth1
82.200.4.0/24 via 217.18.140.169 dev eth1
91.211.187.0/24 via 217.18.140.169 dev eth1
91.211.186.0/24 via 217.18.140.169 dev eth1
91.211.185.0/24 via 217.18.140.169 dev eth1
91.211.184.0/24 via 217.18.140.169 dev eth1
91.210.187.0/24 via 217.18.140.169 dev eth1
91.210.186.0/24 via 217.18.140.169 dev eth1
94.251.92.0/24 via 217.18.140.169 dev eth1
93.91.165.0/24 via 217.18.140.169 dev eth1
93.91.166.0/24 via 217.18.140.169 dev eth1
95.170.146.0/24 via 217.18.140.169 dev eth1
217.79.56.0/24 via 217.18.140.169 dev eth1
91.223.120.0/24 via 217.18.140.169 dev eth1
92.50.240.0/24 via 217.18.140.169 dev eth1
192.168.1.0/24 dev eth0  proto kernel  scope link  src 192.168.1.1
212.192.102.0/24 via 217.18.140.169 dev eth1
62.64.24.0/24 via 217.18.140.169 dev eth1
80.89.135.0/24 via 217.18.140.169 dev eth1
91.217.110.0/23 via 217.18.140.169 dev eth1
91.221.36.0/23 via 217.18.140.169 dev eth1
91.210.184.0/23 via 217.18.140.169 dev eth1
79.122.222.0/23 via 217.18.140.169 dev eth1
91.221.60.0/23 via 217.18.140.169 dev eth1
91.193.88.0/23 via 217.18.140.169 dev eth1
31.184.230.0/23 via 217.18.140.169 dev eth1
95.170.144.0/23 via 217.18.140.169 dev eth1
91.226.12.0/23 via 217.18.140.169 dev eth1
82.200.70.0/23 via 217.18.140.169 dev eth1
95.170.156.0/23 via 217.18.140.169 dev eth1
94.28.4.0/23 via 217.18.140.169 dev eth1
93.91.168.0/23 via 217.18.140.169 dev eth1
212.73.124.0/22 via 217.18.140.169 dev eth1
193.106.132.0/22 via 217.18.140.169 dev eth1
95.170.140.0/22 via 217.18.140.169 dev eth1
95.170.136.0/22 via 217.18.140.169 dev eth1
194.226.60.0/22 via 217.18.140.169 dev eth1
91.210.72.0/22 via 217.18.140.169 dev eth1
195.211.196.0/22 via 217.18.140.169 dev eth1
109.202.12.0/22 via 217.18.140.169 dev eth1
91.211.236.0/22 via 217.18.140.169 dev eth1
90.188.112.0/21 via 217.18.140.169 dev eth1
46.30.32.0/21 via 217.18.140.169 dev eth1
212.107.240.0/21 via 217.18.140.169 dev eth1
212.107.248.0/21 via 217.18.140.169 dev eth1
31.24.24.0/21 via 217.18.140.169 dev eth1
31.31.168.0/21 via 217.18.140.169 dev eth1
178.213.72.0/21 via 217.18.140.169 dev eth1
188.65.16.0/21 via 217.18.140.169 dev eth1
212.107.224.0/20 via 217.18.140.169 dev eth1
92.63.64.0/20 via 217.18.140.169 dev eth1
80.72.208.0/20 via 217.18.140.169 dev eth1
217.29.80.0/20 via 217.18.140.169 dev eth1
90.188.96.0/20 via 217.18.140.169 dev eth1
212.192.112.0/20 via 217.18.140.169 dev eth1
77.245.160.0/20 via 217.18.140.169 dev eth1
84.237.0.0/20 via 217.18.140.169 dev eth1
213.183.96.0/19 via 217.18.140.169 dev eth1
82.117.160.0/19 via 217.18.140.169 dev eth1
176.65.32.0/19 via 217.18.140.169 dev eth1
95.170.96.0/19 via 217.18.140.169 dev eth1
92.126.224.0/19 via 217.18.140.169 dev eth1
82.117.64.0/19 via 217.18.140.169 dev eth1
95.174.192.0/19 via 217.18.140.169 dev eth1
92.125.0.0/19 via 217.18.140.169 dev eth1
62.68.128.0/19 via 217.18.140.169 dev eth1
92.243.96.0/19 via 217.18.140.169 dev eth1
92.125.32.0/19 via 217.18.140.169 dev eth1
90.188.64.0/19 via 217.18.140.169 dev eth1
217.18.128.0/19 via 217.18.140.169 dev eth1
46.243.128.0/19 via 217.18.140.169 dev eth1
213.210.64.0/18 via 217.18.140.169 dev eth1
46.236.128.0/18 via 217.18.140.169 dev eth1
46.166.192.0/18 via 217.18.140.169 dev eth1
109.124.0.0/18 via 217.18.140.169 dev eth1
78.139.192.0/18 via 217.18.140.169 dev eth1
83.172.0.0/18 via 217.18.140.169 dev eth1
95.191.0.0/18 via 217.18.140.169 dev eth1
77.106.64.0/18 via 217.18.140.169 dev eth1
109.227.192.0/18 via 217.18.140.169 dev eth1
78.140.0.0/18 via 217.18.140.169 dev eth1
46.161.128.0/18 via 217.18.140.169 dev eth1
78.136.192.0/18 via 217.18.140.169 dev eth1
109.123.128.0/18 via 217.18.140.169 dev eth1
31.211.0.0/17 via 217.18.140.169 dev eth1
88.204.0.0/17 via 217.18.140.169 dev eth1
79.136.128.0/17 via 217.18.140.169 dev eth1
169.254.0.0/16 dev eth1  scope link  metric 1000
default dev ppp0  scope link

прописаны роуты в wan чтобы не ходить туда через ppp (скорость падает в wan в том числе)

топология звезда есс-но Zyxel ES-116S

[xeon_greg]

-A OUTPUT -o ppp0 -p tcp -m tcp --tcp-flags SYN,RST SYN -m tcpmss --mss 1357:65535 -j TCPMSS --clamp-mss-to-pmtu

без этого ppp0 постоянно падал, исправлю на 1400:1536 (старые цифры кстати нашел на этом форуме)

для корректной работы транзитного инета достаточно только правила в форварде

Код: [Выделить]

-t mangle -A FORWARD -o ppp0 -p tcp -m tcp --tcp-flags SYN,RST SYN -m tcpmss --mss 1400:1536 -j TCPMSS --clamp-mss-to-pmtu

зачем дропать OUTPUT

если про это
-A bad_tcp_packets -p tcp -m tcp ! --tcp-flags FIN,SYN,RST,ACK SYN -m state --state NEW -j DROP
то как поступить сменить на REJECT или убрать правило совсем ? (iptables делал из примера одного очень известного руководства)

правила из известных руководств, стоит брать  если ты понимаешь их назначение, и хорошо разбираешься в iptables, а не просто копировать и потом спрашивать почему не работает.
на начальном этапе, пока не будешь хорошо себе представлять, как работает iptables, OUTPUT советую совсем не трогать, те (политика ACCEPT), ограничится стандартным маскарадом  ну и пробросом некторых портов, если это действительно необходимо, иначе, чувствую, что этой теме конца не будет. ну и блокировать "неугодных одноклассников", если это как-то напрягает 

[winmasta]

-A OUTPUT -o ppp0 -p tcp -m tcp --tcp-flags SYN,RST SYN -m tcpmss --mss 1357:65535 -j TCPMSS --clamp-mss-to-pmtu

без этого ppp0 постоянно падал, исправлю на 1400:1536 (старые цифры кстати нашел на этом форуме)

для корректной работы транзитного инета достаточно только правила в форварде

Код: [Выделить]

-t mangle -A FORWARD -o ppp0 -p tcp -m tcp --tcp-flags SYN,RST SYN -m tcpmss --mss 1400:1536 -j TCPMSS --clamp-mss-to-pmtu

зачем дропать OUTPUT

если про это
-A bad_tcp_packets -p tcp -m tcp ! --tcp-flags FIN,SYN,RST,ACK SYN -m state --state NEW -j DROP
то как поступить сменить на REJECT или убрать правило совсем ? (iptables делал из примера одного очень известного руководства)

правила из известных руководств, стоит брать  если ты понимаешь их назначение, и хорошо разбираешься в iptables, а не просто копировать и потом спрашивать почему не работает.
на начальном этапе, пока не будешь хорошо себе представлять, как работает iptables, OUTPUT советую совсем не трогать, те (политика ACCEPT), ограничится стандартным маскарадом  ну и пробросом некторых портов, если это действительно необходимо, иначе, чувствую, что этой теме конца не будет. ну и блокировать "неугодных одноклассников", если это как-то напрягает

на машине-роутере тоже нужен интрнет поэтому это правило

-A OUTPUT -o ppp0 -p tcp -m tcp --tcp-flags SYN,RST SYN -m tcpmss --mss 1357:65535 -j TCPMSS --clamp-mss-to-pmtu

есть, без него разрывается ppp

Пользователь решил продолжить мысль 26 Октября 2011, 12:45:23:убрал дроп из аутпута, вроде бы проблема ушла (не уверен, надо подольше потестить)
теперь iptables такого вида

(Нажмите, чтобы показать/скрыть)

# Generated by iptables-save v1.4.4 on Wed Oct 26 15:42:57 2011
*mangle
:PREROUTING ACCEPT [857532485:605492994815]
:INPUT ACCEPT [263162967:119517259962]
:FORWARD ACCEPT [593624816:485608210693]
:OUTPUT ACCEPT [421525669:398553109254]
:POSTROUTING ACCEPT [1015125603:884157538387]
[251:12832] -A FORWARD -o ppp0 -p tcp -m tcp --tcp-flags SYN,RST SYN -m tcpmss --mss 1400:1536 -j TCPMSS --clamp-mss-to-pmtu
[33:1980] -A OUTPUT -o ppp0 -p tcp -m tcp --tcp-flags SYN,RST SYN -m tcpmss --mss 1400:1536 -j TCPMSS --clamp-mss-to-pmtu
COMMIT
# Completed on Wed Oct 26 15:42:57 2011
# Generated by iptables-save v1.4.4 on Wed Oct 26 15:42:57 2011
*nat
:PREROUTING ACCEPT [3249379:387878361]
:POSTROUTING ACCEPT [6561590:625617811]
:OUTPUT ACCEPT [5624:595349]
[233:11912] -A PREROUTING -p tcp -m tcp --dport 6881 -j DNAT --to-destination 192.168.1.9
[668:73508] -A PREROUTING -p udp -m udp --dport 6881 -j DNAT --to-destination 192.168.1.9
[0:0] -A PREROUTING -i eth1 -p tcp -m tcp --dport 3389 -j DNAT --to-destination 192.168.1.2
[0:0] -A PREROUTING -i eth1 -p tcp -m tcp --dport 1723 -j DNAT --to-destination 192.168.1.1
[23:2447] -A POSTROUTING -o eth1 -j SNAT --to-source 217.18.140.170
[632:74538] -A POSTROUTING -o ppp0 -j MASQUERADE
COMMIT
# Completed on Wed Oct 26 15:42:57 2011
# Generated by iptables-save v1.4.4 on Wed Oct 26 15:42:57 2011
*filter
:INPUT DROP [43:5337]
:FORWARD DROP [64:56564]
:OUTPUT ACCEPT [29:28020]
:allowed - [0:0]
:bad_tcp_packets - [0:0]
:icmp_packets - [0:0]
:odnokl - [0:0]
:tcp_packets - [0:0]
:udp_packets - [0:0]
[16098:19742054] -A INPUT -p tcp -j bad_tcp_packets
[26:2134] -A INPUT -s 192.168.1.0/24 -i eth0 -j ACCEPT
[0:0] -A INPUT -s 127.0.0.1/32 -i lo -j ACCEPT
[0:0] -A INPUT -s 192.168.1.1/32 -i lo -j ACCEPT
[0:0] -A INPUT -s 217.18.140.170/32 -i lo -j ACCEPT
[37694:22460124] -A INPUT -i eth1 -p gre -j ACCEPT
[0:0] -A INPUT -i eth0 -p udp -m udp --sport 68 --dport 67 -j ACCEPT
[7:1280] -A INPUT -d 217.18.140.170/32 -m state --state RELATED,ESTABLISHED -j ACCEPT
[0:0] -A INPUT -i eth1 -p tcp -j tcp_packets
[0:0] -A INPUT -i eth1 -p udp -j udp_packets
[0:0] -A INPUT -i eth1 -p icmp -j icmp_packets
[16064:19739583] -A INPUT -i ppp0 -m state --state RELATED,ESTABLISHED -j ACCEPT
[6:252] -A INPUT -i ppp0 -p tcp -j tcp_packets
[18:2350] -A INPUT -i ppp0 -p udp -j udp_packets
[3:370] -A INPUT -i ppp0 -p icmp -j icmp_packets
[0:0] -A INPUT -d 224.0.0.0/8 -i eth1 -j DROP
[5:648] -A INPUT -m limit --limit 3/min --limit-burst 3 -j LOG --log-prefix "IPT INPUT packet died: " --log-level 7
[50639:43272977] -A FORWARD -p tcp -j bad_tcp_packets
[1652:264077] -A FORWARD -i ppp0 -j odnokl
[2508:349574] -A FORWARD -i eth0 -j ACCEPT
[0:0] -A FORWARD -i ppp5 -j ACCEPT
[1984:1419064] -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT
[0:0] -A FORWARD -d 192.168.1.9/32 -p tcp -m tcp --dport 6881 -j ACCEPT
[754:78061] -A FORWARD -d 192.168.1.9/32 -p udp -m udp --dport 6881 -j ACCEPT
[0:0] -A FORWARD -d 192.168.1.2/32 -i eth1 -o eth0 -p tcp -m tcp --dport 3389 -j ACCEPT
[0:0] -A FORWARD -m limit --limit 3/min --limit-burst 3 -j LOG --log-prefix "IPT FORWARD packet died: " --log-level 7
[0:0] -A OUTPUT -s 127.0.0.1/32 -j ACCEPT
[11:1704] -A OUTPUT -s 192.168.1.1/32 -j ACCEPT
[53529:49175922] -A OUTPUT -s 217.18.140.170/32 -j ACCEPT
[11883:6003706] -A OUTPUT -o ppp0 -j ACCEPT
[0:0] -A OUTPUT -p icmp -m icmp --icmp-type 3 -j ACCEPT
[0:0] -A OUTPUT -p icmp -m icmp --icmp-type 8 -j ACCEPT
[0:0] -A OUTPUT -p icmp -m icmp --icmp-type 11 -j ACCEPT
[0:0] -A OUTPUT -p tcp -m tcp --sport 6881 -j ACCEPT
[0:0] -A OUTPUT -p udp -m udp --sport 6881 -j ACCEPT
[0:0] -A OUTPUT -m limit --limit 3/min --limit-burst 3 -j LOG --log-prefix "IPT OUTPUT packet died: " --log-level 7
[0:0] -A allowed -p tcp -m tcp --tcp-flags FIN,SYN,RST,ACK SYN -j ACCEPT
[0:0] -A allowed -p tcp -m state --state RELATED,ESTABLISHED -j ACCEPT
[0:0] -A allowed -p tcp -j DROP
[18462:971139] -A bad_tcp_packets -d 192.168.1.9/32 -p tcp -m tcp --dport 6881 -j ACCEPT
[30176:41000499] -A bad_tcp_packets -s 192.168.1.9/32 -p tcp -m tcp --sport 6881 -j ACCEPT
[0:0] -A bad_tcp_packets -p tcp -m tcp --tcp-flags SYN,ACK SYN,ACK -m state --state NEW -j REJECT --reject-with tcp-reset
[11:871] -A bad_tcp_packets -p tcp -m tcp ! --tcp-flags FIN,SYN,RST,ACK SYN -m state --state NEW -j LOG --log-prefix "New not syn:"
[11:871] -A bad_tcp_packets -p tcp -m tcp ! --tcp-flags FIN,SYN,RST,ACK SYN -m state --state NEW -j DROP
[3:370] -A icmp_packets -p icmp -m icmp --icmp-type 3 -j ACCEPT
[0:0] -A icmp_packets -p icmp -m icmp --icmp-type 8 -j ACCEPT
[0:0] -A icmp_packets -p icmp -m icmp --icmp-type 11 -j ACCEPT
[0:0] -A odnokl -s 217.20.154.45/32 -d 192.168.1.2/32 -j REJECT --reject-with icmp-port-unreachable
[0:0] -A odnokl -s 217.20.154.42/32 -d 192.168.1.2/32 -j REJECT --reject-with icmp-port-unreachable
[0:0] -A odnokl -s 217.20.154.43/32 -d 192.168.1.2/32 -j REJECT --reject-with icmp-port-unreachable
[0:0] -A odnokl -s 217.20.154.44/32 -d 192.168.1.2/32 -j REJECT --reject-with icmp-port-unreachable
[0:0] -A odnokl -s 217.20.154.44/32 -d 192.168.1.4/32 -j REJECT --reject-with icmp-port-unreachable
[0:0] -A odnokl -s 217.20.154.45/32 -d 192.168.1.4/32 -j REJECT --reject-with icmp-port-unreachable
[0:0] -A odnokl -s 217.20.154.42/32 -d 192.168.1.4/32 -j REJECT --reject-with icmp-port-unreachable
[0:0] -A odnokl -s 217.20.154.43/32 -d 192.168.1.4/32 -j REJECT --reject-with icmp-port-unreachable
[0:0] -A odnokl -s 217.20.154.43/32 -d 192.168.1.5/32 -j REJECT --reject-with icmp-port-unreachable
[0:0] -A odnokl -s 217.20.154.44/32 -d 192.168.1.5/32 -j REJECT --reject-with icmp-port-unreachable
[0:0] -A odnokl -s 217.20.154.45/32 -d 192.168.1.5/32 -j REJECT --reject-with icmp-port-unreachable
[0:0] -A odnokl -s 217.20.154.42/32 -d 192.168.1.5/32 -j REJECT --reject-with icmp-port-unreachable
[0:0] -A odnokl -s 217.20.154.42/32 -d 192.168.1.6/32 -j REJECT --reject-with icmp-port-unreachable
[0:0] -A odnokl -s 217.20.154.43/32 -d 192.168.1.6/32 -j REJECT --reject-with icmp-port-unreachable
[0:0] -A odnokl -s 217.20.154.44/32 -d 192.168.1.6/32 -j REJECT --reject-with icmp-port-unreachable
[0:0] -A odnokl -s 217.20.154.45/32 -d 192.168.1.6/32 -j REJECT --reject-with icmp-port-unreachable
[0:0] -A odnokl -s 217.20.154.45/32 -d 192.168.1.7/32 -j REJECT --reject-with icmp-port-unreachable
[0:0] -A odnokl -s 217.20.154.42/32 -d 192.168.1.7/32 -j REJECT --reject-with icmp-port-unreachable
[0:0] -A odnokl -s 217.20.154.43/32 -d 192.168.1.7/32 -j REJECT --reject-with icmp-port-unreachable
[0:0] -A odnokl -s 217.20.154.44/32 -d 192.168.1.7/32 -j REJECT --reject-with icmp-port-unreachable
[0:0] -A tcp_packets -s 192.168.1.1/32 -p tcp -m tcp --dport 53 -j allowed
[0:0] -A tcp_packets -i eth1 -p tcp -m tcp --dport 1723 -j allowed
[0:0] -A tcp_packets -s 192.168.1.1/32 -p tcp -m tcp --dport 80 -j allowed
[0:0] -A tcp_packets -p tcp -m tcp --sport 6881 -j ACCEPT
[6:252] -A tcp_packets -p tcp -m tcp --dport 6881 -j ACCEPT
[0:0] -A udp_packets -s 192.168.1.1/32 -p udp -m udp --dport 53 -j ACCEPT
[0:0] -A udp_packets -s 192.168.1.1/32 -p udp -m udp --dport 123 -j ACCEPT
[0:0] -A udp_packets -p udp -m udp --sport 6881 -j ACCEPT
[0:0] -A udp_packets -p udp -m udp --dport 6881 -j ACCEPT
[0:0] -A udp_packets -d 217.18.140.255/32 -i eth1 -p udp -m udp --dport 135:139 -j DROP
[0:0] -A udp_packets -d 255.255.255.255/32 -i eth1 -p udp -m udp --dport 67:68 -j DROP
COMMIT
# Completed on Wed Oct 26 15:42:57 2011

может быть еще что-то можно оптимизировать ?

[xeon_greg]

-A OUTPUT -o ppp0 -p tcp -m tcp --tcp-flags SYN,RST SYN -m tcpmss --mss 1357:65535 -j TCPMSS --clamp-mss-to-pmtu

есть, без него разрывается ppp

никакого отношения не имеет к разрывам ppp интерфейса. и для работы инета на шлюзе оно не нужно.
Пользователь решил продолжить мысль 26 Октября 2011, 13:31:29:

ppp0      Link encap:Протокол PPP (Point-to-Point Protocol)
          inet addr:213.210.92.207  P-t-P:217.18.130.200  Mask:255.255.255.255
          UP POINTOPOINT RUNNING NOARP MULTICAST  MTU:1500

а в таком случае и в форварде оно не нужно. кстати откуда такое значение ? сам выставил ?

[winmasta]

-A OUTPUT -o ppp0 -p tcp -m tcp --tcp-flags SYN,RST SYN -m tcpmss --mss 1357:65535 -j TCPMSS --clamp-mss-to-pmtu

есть, без него разрывается ppp

никакого отношения не имеет к разрывам ppp интерфейса. и для работы инета на шлюзе оно не нужно.
Пользователь решил продолжить мысль 26 Октября 2011, 13:31:29:

ppp0      Link encap:Протокол PPP (Point-to-Point Protocol)
          inet addr:213.210.92.207  P-t-P:217.18.130.200  Mask:255.255.255.255
          UP POINTOPOINT RUNNING NOARP MULTICAST  MTU:1500

а в таком случае и в форварде оно не нужно. кстати откуда такое значение ? сам выставил ?

1500 встало по умолчанию
без этих правил раньше ппп отваливался быстро, сейчас опять протестирую без них
Пользователь решил продолжить мысль 26 Октября 2011, 13:51:00:убрал правило из аутпута - вроде работает
Пользователь решил продолжить мысль 26 Октября 2011, 14:00:04:убрал из форварда - работает, странно, раньше рвалось все время, решал только этим правилом ... хм

а по остальным правилам как - в порядке или есть ненужные движения ?

[xeon_greg]

если раньше MTU было другое, то конечно транзит отваливался бы , раз такое дело, что сам не трогал, то в форвард пожалуй верни, а то вдруг опять потом изменится в меньшую сторону...и будут затыки.. в аутпут  -  не надо, оно там не нужно вообще.

[winmasta]

если раньше MTU было другое, то конечно транзит отваливался бы , раз такое дело, что сам не трогал, то в форвард пожалуй верни, а то вдруг опять потом изменится в меньшую сторону...и будут затыки.. в аутпут  -  не надо, оно там не нужно вообще.

MTU раньше был меньше ибо я ствил его вручную - опять же боролся с разрывами, теперь по дефолту 1500 встает и не рвется, я думаю весь косяк был в том, что раньше я на АДСЛ сидел а сейчас на оптику переехал

[xeon_greg]

по остальным правилам - тебе видней что тебе нужно и каких результатов хочешь получить, раз OUTPUT - ACCEPT, то все правила его касающиеся можно смело убрать .

[winmasta]

по остальным правилам - тебе видней что тебе нужно и каких результатов хочешь получить, раз OUTPUT - ACCEPT, то все правила его касающиеся можно смело убрать .

это понятно, НО безопасно ли ACCEPT ?

[winmasta]

Добрый день друзья. Снова получил таку же проблему собрав второй роутер в другой сети с другим провайдером.

ipconfig-save

(Нажмите, чтобы показать/скрыть)

Код: [Выделить]

# Generated by iptables-save v1.4.12 on Wed Sep 19 18:04:06 2012
*mangle
:PREROUTING ACCEPT [14724:14648795]
:INPUT ACCEPT [13133:13777818]
:FORWARD ACCEPT [1591:870977]
:OUTPUT ACCEPT [11585:13566853]
:POSTROUTING ACCEPT [13176:14437830]
COMMIT
# Completed on Wed Sep 19 18:04:06 2012
# Generated by iptables-save v1.4.12 on Wed Sep 19 18:04:06 2012
*nat
:PREROUTING ACCEPT [98:4943]
:INPUT ACCEPT [27:1683]
:OUTPUT ACCEPT [119:7342]
:POSTROUTING ACCEPT [30:1880]
-A POSTROUTING -o eth2 -j SNAT --to-source 195.208.161.154
COMMIT
# Completed on Wed Sep 19 18:04:06 2012
# Generated by iptables-save v1.4.12 on Wed Sep 19 18:04:06 2012
*filter
:INPUT DROP [40:1648]
:FORWARD DROP [0:0]
:OUTPUT ACCEPT [11585:13566853]
-A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -s 192.168.1.0/24 -p tcp -m multiport --dports 3128 -j ACCEPT
-A INPUT -s 192.168.0.0/24 -p tcp -m multiport --dports 3128 -j ACCEPT
-A INPUT -s 192.168.1.0/24 -p udp -m multiport --dports 53,123 -j ACCEPT
-A INPUT -s 192.168.0.0/24 -p udp -m multiport --dports 53,123 -j ACCEPT
-A INPUT -p tcp -m tcp --tcp-flags SYN,ACK SYN,ACK -m conntrack --ctstate NEW -j REJECT --reject-with tcp-reset
-A INPUT -p tcp -m tcp ! --tcp-flags FIN,SYN,RST,ACK SYN -m conntrack --ctstate NEW -j LOG --log-prefix "NEW not SYN: "
-A INPUT -p tcp -m tcp ! --tcp-flags FIN,SYN,RST,ACK SYN -m conntrack --ctstate NEW -j DROP
-A INPUT -p icmp -m icmp --icmp-type 8 -j ACCEPT
-A INPUT -m limit --limit 3/min --limit-burst 3 -j LOG --log-prefix "IPT INPUT packet died: " --log-level 7
-A FORWARD -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -s 192.168.1.0/24 -i eth0 -j ACCEPT
-A FORWARD -s 192.168.0.0/24 -i eth1 -j ACCEPT
-A FORWARD -m limit --limit 3/min --limit-burst 3 -j LOG --log-prefix "IPT FORWARD packet died: " --log-level 7
COMMIT
# Completed on Wed Sep 19 18:04:06 2012


ifconfig

(Нажмите, чтобы показать/скрыть)

Код: [Выделить]

eth0      Link encap:Ethernet  HWaddr 84:c9:b2:46:f6:65 
          inet addr:192.168.1.1  Bcast:192.168.1.255  Mask:255.255.255.0
          inet6 addr: fe80::86c9:b2ff:fe46:f665/64 Scope:Link
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:17810 errors:0 dropped:0 overruns:0 frame:0
          TX packets:18713 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000
          RX bytes:8325928 (8.3 MB)  TX bytes:22366978 (22.3 MB)
          Interrupt:16 Base address:0x2000

eth1      Link encap:Ethernet  HWaddr 54:04:a6:de:7d:1c 
          inet addr:192.168.0.100  Bcast:192.168.0.255  Mask:255.255.255.0
          inet6 addr: fe80::5604:a6ff:fede:7d1c/64 Scope:Link
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:4231 errors:0 dropped:0 overruns:0 frame:0
          TX packets:78 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000
          RX bytes:279370 (279.3 KB)  TX bytes:11846 (11.8 KB)
          Interrupt:17 Base address:0xe000

eth2      Link encap:Ethernet  HWaddr bc:5f:f4:1c:25:99 
          inet addr:195.208.161.154  Bcast:195.208.161.255  Mask:255.255.254.0
          inet6 addr: fe80::be5f:f4ff:fe1c:2599/64 Scope:Link
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:177234 errors:0 dropped:0 overruns:0 frame:0
          TX packets:106402 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000
          RX bytes:182174914 (182.1 MB)  TX bytes:70439859 (70.4 MB)
          Interrupt:45 Base address:0xa000

lo        Link encap:Локальная петля (Loopback) 
          inet addr:127.0.0.1  Mask:255.0.0.0
          inet6 addr: ::1/128 Scope:Host
          UP LOOPBACK RUNNING  MTU:16436  Metric:1
          RX packets:7122 errors:0 dropped:0 overruns:0 frame:0
          TX packets:7122 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:0
          RX bytes:1960477 (1.9 MB)  TX bytes:1960477 (1.9 MB)


ip route

(Нажмите, чтобы показать/скрыть)

Код: [Выделить]

default via 195.208.160.1 dev eth2  proto static
169.254.0.0/16 dev eth1  scope link  metric 1000
192.168.0.0/24 dev eth1  proto kernel  scope link  src 192.168.0.100  metric 1
192.168.1.0/24 dev eth0  proto kernel  scope link  src 192.168.1.1  metric 1
195.208.160.0/23 dev eth2  proto kernel  scope link  src 195.208.161.154  metric 1


eth0 и eth1 локальные сети, eth2 интернет. На шлюзе скорость 96 мбит/сек, на машине из сети 192.168.1.0
скорость 6 мбит (данные speedtest.net мерил несколько раз в разное время - один и тот же результат)

трассировка до ya.ru со шлюза

(Нажмите, чтобы показать/скрыть)

Код: [Выделить]

traceroute to ya.ru (87.250.251.3), 30 hops max, 60 byte packets
 1  core-sw-bbn.net-com.su (195.208.163.1)  0.567 ms  1.017 ms  1.197 ms
 2  border-1-bbn.net-com.su (195.208.163.2)  0.309 ms  0.313 ms  0.305 ms
 3  ge5-1-503.tmk253br.ll-tmk.zsttk.ru (82.200.72.241)  0.648 ms  0.668 ms  0.722 ms
 4  tmk01.transtelecom.net (217.150.37.162)  1.010 ms  1.021 ms  0.995 ms
 5  msk02.transtelecom.net (217.150.60.30)  44.567 ms  44.593 ms  44.633 ms
 6  Yandex-gw.transtelecom.net (217.150.60.29)  44.900 ms  44.928 ms  44.626 ms
 7  core-ugr-vlan901.yandex.net (77.88.56.126)  46.606 ms  46.694 ms  46.455 ms
 8  l3-s900-s3000.yandex.net (213.180.213.4)  46.048 ms  46.016 ms  45.944 ms
 9  l3-s3200-s3000.yandex.net (213.180.213.11)  135.614 ms  135.618 ms  135.595 ms
10  www.yandex.ru (87.250.251.3)  45.494 ms  45.939 ms  45.575 ms


трассировка до ya.ru с 192.168.1.2

(Нажмите, чтобы показать/скрыть)

http://hdd.tomsk.ru/file/vbhiqrzz

подскажите куда копать ?