> если из внешки никто не будет подключаться, то зачастую достаточно разрешить только
> ответные пакеты
> -A FORWARD -m state --state ESTABLISHED -j ACCEPT
> на время проверки включить логирование того что блокируется и добавлять правила для
> того что нужно было бы пропустить А как выглядят правила для *filter input и output?
У меня наверное не очень правильно но все работало eth2-adsl; eth0,eth1-lan;
# http https
-A OUTPUT -p tcp -m tcp -m multiport -o eth2 --sport 1024:65535 -j ACCEPT --dports 80,443
-A INPUT -p tcp -m tcp -m multiport -i eth2 --dport 1024:65535 -j ACCEPT --sports 80,443 ! --syn
-A INPUT -p tcp -m tcp -i eth2 --dport 1024:65535 --sport 20 -j ACCEPT
-A OUTPUT -p tcp -m tcp -o eth2 --dport 20 --sport 1024:65535 -j ACCEPT ! --syn
-A OUTPUT -p tcp -m tcp -o eth2 --dport 1024:65535 --sport 1024:65535 -j ACCEPT
-A INPUT -p tcp -m tcp -i eth2 --dport 1024:65535 --sport 1024:65535 -j ACCEPT ! --syn
-A OUTPUT -p tcp -m tcp -o eth2 --dport 23 --sport 1024:65535 -j ACCEPT
-A INPUT -p tcp -m tcp -i eth2 --dport 1024:65535 --sport 23 -j ACCEPT ! --syn
-A OUTPUT -p tcp -m tcp -o eth2 --dport 79 --sport 1024:65535 -j ACCEPT
-A INPUT -p tcp -m tcp -i eth2 --dport 1024:65535 --sport 79 -j ACCEPT ! --syn
-A OUTPUT -p tcp -m tcp -o eth2 --dport 43 --sport 1024:65535 -j ACCEPT
-A INPUT -p tcp -m tcp -i eth2 --dport 1024:65535 --sport 43 -j ACCEPT ! --syn
-A OUTPUT -p tcp -m tcp -o eth2 --dport 70 --sport 1024:65535 -j ACCEPT
-A INPUT -p tcp -m tcp -i eth2 --dport 1024:65535 --sport 70 -j ACCEPT ! --syn
-A OUTPUT -p tcp -m tcp -o eth2 --dport 210 --sport 1024:65535 -j ACCEPT
-A INPUT -p tcp -m tcp -i eth2 --dport 1024:65535 --sport 210 -j ACCEPT ! --syn
-A OUTPUT -p udp -m udp -o eth2 --dport 33434:33523 --sport 32769:65535 -j ACCEPT
-A OUTPUT -p udp -m udp -o eth2 --dport 67 --sport 68 -j ACCEPT
-A INPUT -p udp -m udp -i eth2 --dport 68 --sport 67 -j ACCEPT
#dns
-A OUTPUT -p udp -m udp -o eth2 --dport 53 --sport 1024:65535 -j ACCEPT
-A OUTPUT -p tcp -m tcp -o eth2 --dport 53 --sport 1024:65535 -j ACCEPT
-A INPUT -p udp -m udp -i eth2 --dport 1024:65535 --sport 53 -j ACCEPT
-A INPUT -p tcp -m tcp -i eth2 --dport 1024:65353 --sport 53 -j ACCEPT
#other
-A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
-A OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
-A INPUT -p udp -m udp -s 0/0 --dport 68 --sport 67 -j ACCEPT
-A OUTPUT -p udp -m udp -s 0/0 -j ACCEPT
-A INPUT -p icmp -j DROP --fragment
-A OUTPUT -p icmp -j DROP --fragment
-A INPUT -p icmp -m icmp -i eth2 --icmp-type source-quench -j ACCEPT
-A OUTPUT -p icmp -m icmp -o eth2 --icmp-type source-quench -j ACCEPT
-A INPUT -p icmp -m icmp -i eth2 --icmp-type echo-reply -j ACCEPT
-A OUTPUT -p icmp -m icmp -o eth2 --icmp-type echo-request -j ACCEPT
-A INPUT -p icmp -m icmp -i eth2 --icmp-type parameter-problem -j ACCEPT
-A OUTPUT -p icmp -m icmp -o eth2 --icmp-type parameter-problem -j ACCEPT
-A INPUT -p tcp -m tcp -i eth2 --dport 6000:6063 -j DROP --syn
