По моему прошлому посту : https://forum.ubuntu.ru/index.php?topic=20334.msg981857#msg981857 спасибо, maroshka за помощь - в конфиге действительно было полно лажи. Конфиг переделал, теперь он такой #!/bin/sh
#
#очищаем настройки
#
iptables -X
iptables -t nat -X
iptables -t mangle -X
#
#Подгрузка необходимых модулей
#
/sbin/modprobe ip_conntrack
/sbin/modprobe ip_conntrack_ftp
/sbin/modprobe ip_nat_ftp
#
#политика по умолчанию
#
iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -p OUTPUT DROP
#
#раздаём инет в локалку четез nat:
#
sysctl -w net.ipv4.ip_forward="1"
iptables -t nat -A POSTROUTING --source 192.168.0.0/24 -o eth0 -j SNAT --to-source 213.xxx.yyy.zzz
#
#Разрешим входящие соединения на маршрутизатор из локальной сети :
#
iptables -A INPUT -i eth1 --source 192.168.0.0/24 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT
#
#Разрешим маршрутизатору отвечать компьютерам в локальной сети:
#
iptables -A OUTPUT -o eth1 --destination 192.168.0.0/24 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT
#
#Разрешим перенаправление пакетов из локальной сети в инет для установки соединений и установленных соединений:
#
iptables -A FORWARD -i eth1 --source 192.168.0.0/24 --destination 0.0.0.0/0 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT
#
#Разрешим перенаправление пакетов из интернета в локальную сеть только для установленных соединений:
#
iptables -A FORWARD -i eth0 --destination 192.168.0.0/24 -m conntrack --ctstate ESTABLISHED -j ACCEPT
#
#открываем порт для торрент-клиента на отдельной машине:
#
iptables -t nat -A PREROUTING -p tcp -m tcp --dport 29670 -j DNAT --to-destination 192.168.0.77
iptables -A FORWARD -p tcp -i eth0 --dport 29670 -m conntrack --ctstate NEW,ESTABLISHED,RELATED -j ACCEPT
#
#разрешаем трассировку udp
#
iptables -A FORWARD -p udp -j ACCEPT
#
#Почта_pop3
#
iptables -A INPUT -i eth0 -p tcp --dport 110 -m conntrack --ctstate NEW -j ACCEPT
#
#Почта_smtp
#
iptables -A OUTPUT -o eth0 -p tcp --dport 25 -j ACCEPT
#
#Почта imap
#
iptables -A INPUT -i eth0 -p tcp --dport 143 -m conntrack --ctstate NEW -j ACCEPT
#
#разрешаем вход по https
#
iptables -A INPUT -i eth0 -p tcp --dport 443 -m conntrack --ctstate NEW,ESTABLISHED,RELATED -j ACCEPT
#
и опять же если INPUT и FORWARD утановить в ACCEPT всё работает. Видимо чего-то не хватает в конфиге 
Просветите, пожалуйста, уважаемое сообщество, что я опять не так делаю !!!
не, это удаление:
#очищаем настройки
iptables -X
iptables -t nat -X
iptables -t mangle -X
#
очистка это с -F, ну почитайте хотябы немного туториал по iptables
и еще раз: На каком интерфейсе висит apache и почта? смотрят ли эти сервисы в локалку?, может просто сервисы настроены на внешний IP? из нутри сети есть пинг на внешний IP? если пинга нет, то возможно надо дописать правила входа/выхода на данный IP
Посмотрите какие порты на каких IP слушают ваши сервисы, например: netstat -atnp
В принципе в FORWARD можно и -o использовать, но лучше вместе с -i. Это так, размышления.
Клиенты которые не могут авторизироваться - это кто? Те кто внутри сети или из мира?
Если внутри сети и сервисы слушают порты на внешнем IP работать и не будет с такими правилами.
Правило:
iptables -A OUTPUT -o eth0 -p tcp --dport 25 -j ACCEPT
Это что? т.е. исходящий траффик с eth0, tcp протокол на 25 порт
может надо с 25 порта?
Если всетаки сервисы слушают порты на внешнем IP и до этих сервисов не могут достучаться из локалки, то надо в правилах создать в INPUT и в OUTPUT по принципу для INPUT приходит на внутренний интерфейс для внешнего IP, для OUTPUT выходит с внутреннего интерфейса, внешнего IP для внутренней сети. Вроде так.
Тема: HOWTO: Iptables для новичков (Прочитано 526611 раз)
