проблемен скрипт с иптаблес

някой би ли могъл да ми каже къде е проблема в този скрипт.
дори и на трите вериги да направя на ацепт полицията пак няма нет зад рутера.
[линк]

TTL=1?

Още малко толерантност никога не е излишна

мне.
от машина зад рутера пингвам абв и е на 57.
ина4е като рестартирах рc.local от локалната машина и от самия рутер няма пинг до абв примерно, но ирс-то и скаипа си работеха.
сетнах полициите на ацепт и пак не тръгна. да флушнах вси4ко и тогава 4ак си проработиха нещата :(

Пестни скрипта тук че не ти си отваря адреса.

root@darkstar:~# cat /etc/rc.d/rc.firewall
#!/bin/sh

#ZADAVANE NA KONSTANTITE

li="eth1" #lan interfeis
la="192.168.0.1" #lan adres
ii="eth0" #internet interfeis
ia="192.168.1.2" #internet adres
lo="lo" #loopback
ca="10.0.0.0/8" #mreja A-klas
cb="172.16.0.0/12" #mreja B-klas
cc="192.168.0.0/16" #mreja C-klas
cd="224.0.0.0/4" #mreja D-klas
ce="240.0.0.0/5" #rezervna mreja
I="/usr/sbin/iptables" #iptables :)
zp="1024:65535" #zabraneni portove
ftp="213.145.119.30" #ftp ip


#SETVANE NA POLITIKATA

$I -P INPUT ACCEPT
$I -P OUTPUT ACCEPT
$I -P FORWARD ACCEPT

# FTP
$I -A INPUT -i $ii -p TCP -m state --state ESTABLISHED,RELATED --sport 21 --dport $zp -s 0/0 -d $ia -j ACCEPT
$I -A OUTPUT -o $ii -p TCP -m state --state NEW,ESTABLISHED --sport $zp --dport 21 -s $ia -d 0/0 -j ACCEPT
$I -A INPUT -i $ii -p TCP -m state --state NEW --sport 20 --dport $zp -s 0/0 -d $ia -j ACCEPT
$I -A OUTPUT -o $ii -p TCP -m state --state ESTABLISHED,RELATED --sport $zp --dport 20 -s $ia -d 0/0 -j ACCEPT
$I -A INPUT -i $ii -p TCP -m state --state ESTABLISHED,RELATED --sport $zp --dport $zp -s 0/0 -d $ia -j ACCEPT
$I -A OUTPUT -o $ii -p TCP -m state --state NEW,ESTABLISHED --sport $zp --dport $zp -s $ia -d 0/0 -j ACCEPT
#AKO IMA MASKIRANE
$I -A FORWARD -p TCP -s $cc --sport $zp --dport 20:21 -j ACCEPT
$I -A FORWARD -p TCP -d $cc --sport 20:21 --dport $zp -j ACCEPT
$I -A FORWARD -p TCP -s $cc --sport $zp --dport $zp -j ACCEPT
$I -A FORWARD -p TCP -d $cc --sport $zp --dport $zp -j ACCEPT

# HTTP
$I -A OUTPUT -o $ii -p TCP --sport $zp --dport 80 -s $ia -d 0/0 -j ACCEPT
$I -A INPUT -i $ii -p TCP -m state --state ESTABLISHED,RELATED --sport 80 --dport $zp -s 0/0 -d $ia -j ACCEPT
#AKO IMA MASKIRANE
$I -A FORWARD -p TCP -s $cc --sport $zp --dport 80 -j ACCEPT
$I -A FORWARD -p TCP -d $cc --sport 80 --dport $zp -j ACCEPT

# HTTPS
$I -A OUTPUT -o $ii -p TCP --sport $zp --dport 443 -s $ia -d 0/0 -j ACCEPT
$I -A INPUT -i $ii -p TCP -m state --state ESTABLISHED,RELATED --sport 443 --dport $zp -s 0/0 -d $ia -j ACCEPT
#AKO IMA MASKIRANE
$I -A FORWARD -p TCP -s $cc --sport $zp --dport 443 -j ACCEPT
$I -A FORWARD -m state --state ESTABLISHED,RELATED -p TCP -d $cc --sport 443 --dport $zp -j ACCEPT

# TRACEROUTE
$I -A OUTPUT -o $ii -p UDP --sport 32769:65535 --dport 33434:33523 -s $ia -d 0/0 -j ACCEPT
#AKO IMA MASKIRANE
$I -A FORWARD -p UDP -s $cc --sport 32769:65535 --dport 33434:33523 -j ACCEPT
$I -A FORWARD -p UDP -d $cc --sport 33434:33523 --dport 32769:65535 -j ACCEPT

# ICQ
$I -A INPUT -p tcp -s 0/0 --destination-port 5000:5100 -j ACCEPT
$I -A OUTPUT -o $ii -p UDP --sport $zp --dport 4000 -s $ia -d 0/0 -j ACCEPT
$I -A INPUT -i $ii -p UDP --sport 4000 --dport $zp -s 0/0 -d $ia -j ACCEPT
#AKO IMA MASKIRANE
$I -A FORWARD -p UDP -s $cc --sport $zp --dport 4000 -j ACCEPT
$I -A FORWARD -p UDP -d $cc --sport 4000 --dport $zp -j ACCEPT

# PRAVILATA
$I -A INPUT -i $lo -j ACCEPT
$I -A OUTPUT -o $lo -j ACCEPT
$I -t nat -A POSTROUTING -s $cc -o $ii -j SNAT --to $ia
$I -A INPUT -i $li -s $cc -j ACCEPT
$I -A OUTPUT -o $li -d $cc -j ACCEPT

# SPOOFED PACKETS
$I -A INPUT -i $ii -s $ia -j DROP
$I -A INPUT -i $ii -s $ca -j DROP
$I -A INPUT -i $ii -d $ca -j DROP
$I -A OUTPUT -o $ii -s $ca -j DROP
$I -A OUTPUT -o $ii -s $ca -j DROP
$I -A INPUT -i $ii -s 127.0.0.0/8 -j DROP
$I -A OUTPUT -o $ii -s 127.0.0.0/8 -j DROP
$I -A INPUT -i $ii -s 255.255.255.255 -j DROP
$I -A INPUT -i $ii -d 0.0.0.0 -j DROP
$I -A OUTPUT -o $ii -s 255.255.255.255 -j DROP
$I -A OUTPUT -o $ii -d 0.0.0.0 -j DROP
$I -A INPUT -i $ii -s $cd -j DROP
$I -A OUTPUT -o $ii -s $cd -j DROP
$I -A INPUT -i $ii -s $ce -j DROP
$I -A OUTPUT -o $ii -d $ce -j DROP
$I -A FORWARD -p tcp --syn -m limit --limit 1/s -j ACCEPT
$I -A FORWARD -p tcp --tcp-flags SYN,ACK,FIN,RST RST -m limit --limit 1/s -j ACCEPT
$I -A FORWARD -p icmp --icmp-type echo-request -m limit --limit 1/s -j ACCEPT
$I -A FORWARD -i $ii -m state ! --state NEW -j DROP


# PPTP
#$I -A OUTPUT -o $EXTERNAL_INTERFACE -p TCP --sport $UNPRIVPORTS --dport 1723 -s $EXTERNAL_IP -d $ANYWHERE -j ACCEPT
#$I -A INPUT -i $EXTERNAL_INTERFACE -p TCP --sport 1723 --dport $zp -s 0/0 -d $ia -m state --state ESTABLISHED,RELATED -j ACCEPT
#iptables -A INPUT -i $EXTERNAL_INTERFACE -p 47 -j ACCEPT
#iptables -A OUTPUT -o $EXTERNAL_INTERFACE -p 47 -j ACCEPT
#AKO IMA MASKIRANE
#iptables -A INPUT -i $INTERNAL_INTERFACE -p 47 -j ACCEPT
#iptables -A OUTPUT -o $INTERNAL_INTERFACE -p 47 -j ACCEPT\
#iptables -A FORWARD -p TCP -s $INTERNAL_NETWORK --sport $UNPRIVPORTS --dport 1723 -j ACCEPT
#iptables -A FORWARD -p TCP -d $INTERNAL_NETWORK -m state --state ESTABLISHED,RELATED --sport 1723 --dport $UNPRIVPORTS -j ACCEPT
#iptables -A FORWARD -p 47 -s $INTERNAL_NETWORK -j ACCEPT
#iptables -A FORWARD -p 47 -d $INTERNAL_NETWORK -j ACCEPT
#KIRIIKI :)
/usr/bin/echo "1" > /proc/sys/net/ipv4/conf/all/secure_redirects
/usr/bin/echo "1" >/proc/sys/net/ipv4/conf/eth0/rp_filter
/usr/bin/echo "0" > /proc/sys/net/ipv4/conf/all/accept_source_route
/usr/bin/echo "0" > /proc/sys/net/ipv4/conf/all/accept_redirect

Това е някакъв готов идиотски скрипт.
Направи си сам скрипт, като пуснеш първо нат-а, като видиш, че върви, почни да добавяш това, което ти трябва.
Чети от тук:
[линк]
(или тук:
[линк])

Или пък питай Франки, да ти обясни за файъруолите и идиотите

този скрипт аз съм го написал.
събирал съм от нета готови правила и съм ги преработил за моите нужди и го оформих като скрипт за да може при промяна на достав4ик лесно да се променят ип-тата примерно :)
знам какво е зна4ението и смисъла на всяко правило, но не разбирам защо не ми сработва.
благодаря ти за "ПОМОЩА"

щом си го написал сам, започни отначало. Първо пусни нат-а, после виж къде гърми.

в момента е направено маскиране.
да не би този ред да ми спира нещата
$I -t nat -A POSTROUTING -s $cc -o $ii -j SNAT --to $ia
или за кое ми говориш?

Този скрипт който си написал е грешен по подразбиране не само заради това че ползваш променливи които толкова си приличат че и правописна грешка да имаш няма кой да я види.
За да получиш отговор вземи първо да направиш следното след като пуснеш скрипта напиши.
iptables-save > script
После пасте на скрипта тука.

Нещата са толкова прости а ти си успял такива ... да ги натвориш в тоя скрипт, че да му се доплаче на човек ;-)

най-основното за ipv4:

iptables -P INPUT DROP
iptables -P OUTPUT ACCEPT
iptables -P FORWARD ACCEPT

iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -A INPUT -i lo -j ACCEPT

iptables -A INPUT -p tcp --syn --dport 21 -j ACCEPT
iptables -A INPUT -p tcp --syn --dport 80 -j ACCEPT
...
iptables -A INPUT -p tcp --syn --dport 113 -j REJECT --reset-with tcp-reset

iptables -A INPUT -p icmp -j ACCEPT

iptables -t nat -A POSTROUTING -o $external_iface -j SNAT --to $wan_address


/etc/sysctl.conf
net/ipv4/icmp_echo_ignore_broadcasts=1
net.ipv4.conf.default.rp_filter=1
net.ipv4.tcp_syncookies=1
net.ipv4.conf.default.forwarding=1

Това е при положение, че сценария ти е:

lan ---- soho router/server ---- wan

и че, до server-а пускаш ftp, www и машините от lan-a могат да правят всякакви заявки навън. Лесно се преправя и да се ограничат повече.

Останалите правила дето си ги писал са излишни.

teh мерси за съвета. и това ще направя, но така с пове4е правила не се ли постига пове4е сигурност :)
ина4е ето резултата от изпълнението на скрипта:

root@darkstar:~# cat script
# Generated by iptables-save v1.3.8 on Sat Jan 12 08:42:29 2008
*nat
:PREROUTING ACCEPT [321940:28633160]
:POSTROUTING ACCEPT [0:0]
:OUTPUT ACCEPT [9:658]
-A POSTROUTING -s 192.168.0.0/255.255.0.0 -o eth0 -j SNAT --to-source 192.168.1.2
-A POSTROUTING -o eth0 -j MASQUERADE
-A POSTROUTING -o eth0 -j MASQUERADE
-A POSTROUTING -s 192.168.0.0/255.255.0.0 -o eth0 -j SNAT --to-source 192.168.1.2
-A POSTROUTING -o eth0 -j MASQUERADE
COMMIT
# Completed on Sat Jan 12 08:42:29 2008
# Generated by iptables-save v1.3.8 on Sat Jan 12 08:42:29 2008
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [6:612]
:OUTPUT ACCEPT [0:0]
-A INPUT -d 192.168.1.2 -i eth0 -p tcp -m state --state RELATED,ESTABLISHED -m tcp --sport 21 --dport 1024:65535 -j ACCEPT
-A INPUT -d 192.168.1.2 -i eth0 -p tcp -m state --state NEW -m tcp --sport 20 --dport 1024:65535 -j ACCEPT
-A INPUT -d 192.168.1.2 -i eth0 -p tcp -m state --state RELATED,ESTABLISHED -m tcp --sport 1024:65535 --dport 1024:65535 -j ACCEPT
-A INPUT -d 192.168.1.2 -i eth0 -p tcp -m state --state RELATED,ESTABLISHED -m tcp --sport 80 --dport 1024:65535 -j ACCEPT
-A INPUT -d 192.168.1.2 -i eth0 -p tcp -m state --state RELATED,ESTABLISHED -m tcp --sport 443 --dport 1024:65535 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 5000:5100 -j ACCEPT
-A INPUT -d 192.168.1.2 -i eth0 -p udp -m udp --sport 4000 --dport 1024:65535 -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -s 192.168.0.0/255.255.0.0 -i eth1 -j ACCEPT
-A INPUT -s 192.168.1.2 -i eth0 -j DROP
-A INPUT -s 10.0.0.0/255.0.0.0 -i eth0 -j DROP
-A INPUT -d 10.0.0.0/255.0.0.0 -i eth0 -j DROP
-A INPUT -s 127.0.0.0/255.0.0.0 -i eth0 -j DROP
-A INPUT -s 255.255.255.255 -i eth0 -j DROP
-A INPUT -d 0.0.0.0 -i eth0 -j DROP
-A INPUT -s 224.0.0.0/240.0.0.0 -i eth0 -j DROP
-A INPUT -s 240.0.0.0/248.0.0.0 -i eth0 -j DROP
-A FORWARD -s 192.168.0.0/255.255.0.0 -p tcp -m tcp --sport 1024:65535 --dport 20:21 -j ACCEPT
-A FORWARD -d 192.168.0.0/255.255.0.0 -p tcp -m tcp --sport 20:21 --dport 1024:65535 -j ACCEPT
-A FORWARD -s 192.168.0.0/255.255.0.0 -p tcp -m tcp --sport 1024:65535 --dport 1024:65535 -j ACCEPT
-A FORWARD -d 192.168.0.0/255.255.0.0 -p tcp -m tcp --sport 1024:65535 --dport 1024:65535 -j ACCEPT
-A FORWARD -s 192.168.0.0/255.255.0.0 -p tcp -m tcp --sport 1024:65535 --dport 80 -j ACCEPT
-A FORWARD -d 192.168.0.0/255.255.0.0 -p tcp -m tcp --sport 80 --dport 1024:65535 -j ACCEPT
-A FORWARD -s 192.168.0.0/255.255.0.0 -p tcp -m tcp --sport 1024:65535 --dport 443 -j ACCEPT
-A FORWARD -d 192.168.0.0/255.255.0.0 -p tcp -m state --state RELATED,ESTABLISHED -m tcp --sport 443 --dport 1024:65535 -j ACCEPT
-A FORWARD -s 192.168.0.0/255.255.0.0 -p udp -m udp --sport 32769:65535 --dport 33434:33523 -j ACCEPT
-A FORWARD -d 192.168.0.0/255.255.0.0 -p udp -m udp --sport 33434:33523 --dport 32769:65535 -j ACCEPT
-A FORWARD -s 192.168.0.0/255.255.0.0 -p udp -m udp --sport 1024:65535 --dport 4000 -j ACCEPT
-A FORWARD -d 192.168.0.0/255.255.0.0 -p udp -m udp --sport 4000 --dport 1024:65535 -j ACCEPT
-A FORWARD -p tcp -m tcp --tcp-flags FIN,SYN,RST,ACK SYN -m limit --limit 1/sec -j ACCEPT
-A FORWARD -p tcp -m tcp --tcp-flags FIN,SYN,RST,ACK RST -m limit --limit 1/sec -j ACCEPT
-A FORWARD -p icmp -m icmp --icmp-type 8 -m limit --limit 1/sec -j ACCEPT
-A FORWARD -i eth0 -m state --state INVALID,RELATED,ESTABLISHED,UNTRACKED -j DROP
-A OUTPUT -s 192.168.1.2 -o eth0 -p tcp -m state --state NEW,ESTABLISHED -m tcp --sport 1024:65535 --dport 21 -j ACCEPT
-A OUTPUT -s 192.168.1.2 -o eth0 -p tcp -m state --state RELATED,ESTABLISHED -m tcp --sport 1024:65535 --dport 20 -j ACCEPT
-A OUTPUT -s 192.168.1.2 -o eth0 -p tcp -m state --state NEW,ESTABLISHED -m tcp --sport 1024:65535 --dport 1024:65535 -j ACCEPT
-A OUTPUT -s 192.168.1.2 -o eth0 -p tcp -m tcp --sport 1024:65535 --dport 80 -j ACCEPT
-A OUTPUT -s 192.168.1.2 -o eth0 -p tcp -m tcp --sport 1024:65535 --dport 443 -j ACCEPT
-A OUTPUT -s 192.168.1.2 -o eth0 -p udp -m udp --sport 32769:65535 --dport 33434:33523 -j ACCEPT
-A OUTPUT -s 192.168.1.2 -o eth0 -p udp -m udp --sport 1024:65535 --dport 4000 -j ACCEPT
-A OUTPUT -o lo -j ACCEPT
-A OUTPUT -d 192.168.0.0/255.255.0.0 -o eth1 -j ACCEPT
-A OUTPUT -s 10.0.0.0/255.0.0.0 -o eth0 -j DROP
-A OUTPUT -s 10.0.0.0/255.0.0.0 -o eth0 -j DROP
-A OUTPUT -s 127.0.0.0/255.0.0.0 -o eth0 -j DROP
-A OUTPUT -s 255.255.255.255 -o eth0 -j DROP
-A OUTPUT -d 0.0.0.0 -o eth0 -j DROP
-A OUTPUT -s 224.0.0.0/240.0.0.0 -o eth0 -j DROP
-A OUTPUT -d 240.0.0.0/248.0.0.0 -o eth0 -j DROP
COMMIT
# Completed on Sat Jan 12 08:42:29 2008
root@darkstar:~#

>"но така с пове4е правила не се ли постига пове4е сигурност"

постига се повече НЕсигурност и проблеми

Бас държа че дори не предполагаш колко глупости си написал.
*nat
:PREROUTING ACCEPT [321940:28633160]
:POSTROUTING ACCEPT [0:0]
:OUTPUT ACCEPT [9:658]
-A POSTROUTING -s 192.168.0.0/255.255.0.0 -o eth0 -j SNAT --to-source 192.168.1.2
-A POSTROUTING -o eth0 -j MASQUERADE
-A POSTROUTING -o eth0 -j MASQUERADE
-A POSTROUTING -s 192.168.0.0/255.255.0.0 -o eth0 -j SNAT --to-source 192.168.1.2
-A POSTROUTING -o eth0 -j MASQUERADE
COMMIT
# Completed on Sat Jan 12 08:42:29 2008
# Generated by iptables-save v1.3.8 on Sat Jan 12 08:42:29 2008
*filter

:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [6:612]
:OUTPUT ACCEPT [0:0]
-A INPUT -d 192.168.1.2 -i eth0 -p tcp -m state --state RELATED,ESTABLISHED -m tcp --sport 21 --dport 1024:65535 -j ACCEPT
-A INPUT -d 192.168.1.2 -i eth0 -p tcp -m state --state NEW -m tcp --sport 20 --dport 1024:65535 -j ACCEPT
-A INPUT -d 192.168.1.2 -i eth0 -p tcp -m state --state RELATED,ESTABLISHED -m tcp --sport 1024:65535 --dport 1024:65535 -j ACCEPT
-A INPUT -d 192.168.1.2 -i eth0 -p tcp -m state --state RELATED,ESTABLISHED -m tcp --sport 80 --dport 1024:65535 -j ACCEPT
-A INPUT -d 192.168.1.2 -i eth0 -p tcp -m state --state RELATED,ESTABLISHED -m tcp --sport 443 --dport 1024:65535 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 5000:5100 -j ACCEPT
-A INPUT -d 192.168.1.2 -i eth0 -p udp -m udp --sport 4000 --dport 1024:65535 -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -s 192.168.0.0/255.255.0.0 -i eth1 -j ACCEPT
-A INPUT -s 192.168.1.2 -i eth0 -j DROP
-A INPUT -s 10.0.0.0/255.0.0.0 -i eth0 -j DROP
-A INPUT -d 10.0.0.0/255.0.0.0 -i eth0 -j DROP
-A INPUT -s 127.0.0.0/255.0.0.0 -i eth0 -j DROP
-A INPUT -s 255.255.255.255 -i eth0 -j DROP
-A INPUT -d 0.0.0.0 -i eth0 -j DROP
-A INPUT -s 224.0.0.0/240.0.0.0 -i eth0 -j DROP
-A INPUT -s 240.0.0.0/248.0.0.0 -i eth0 -j DROP
-A FORWARD -s 192.168.0.0/255.255.0.0 -p tcp -m tcp --sport 1024:65535 --dport 20:21 -j ACCEPT
-A FORWARD -d 192.168.0.0/255.255.0.0 -p tcp -m tcp --sport 20:21 --dport 1024:65535 -j ACCEPT
-A FORWARD -s 192.168.0.0/255.255.0.0 -p tcp -m tcp --sport 1024:65535 --dport 1024:65535 -j ACCEPT
-A FORWARD -d 192.168.0.0/255.255.0.0 -p tcp -m tcp --sport 1024:65535 --dport 1024:65535 -j ACCEPT
-A FORWARD -s 192.168.0.0/255.255.0.0 -p tcp -m tcp --sport 1024:65535 --dport 80 -j ACCEPT
-A FORWARD -d 192.168.0.0/255.255.0.0 -p tcp -m tcp --sport 80 --dport 1024:65535 -j ACCEPT
-A FORWARD -s 192.168.0.0/255.255.0.0 -p tcp -m tcp --sport 1024:65535 --dport 443 -j ACCEPT
-A FORWARD -d 192.168.0.0/255.255.0.0 -p tcp -m state --state RELATED,ESTABLISHED -m tcp --sport 443 --dport 1024:65535 -j ACCEPT
-A FORWARD -s 192.168.0.0/255.255.0.0 -p udp -m udp --sport 32769:65535 --dport 33434:33523 -j ACCEPT
-A FORWARD -d 192.168.0.0/255.255.0.0 -p udp -m udp --sport 33434:33523 --dport 32769:65535 -j ACCEPT
-A FORWARD -s 192.168.0.0/255.255.0.0 -p udp -m udp --sport 1024:65535 --dport 4000 -j ACCEPT
-A FORWARD -d 192.168.0.0/255.255.0.0 -p udp -m udp --sport 4000 --dport 1024:65535 -j ACCEPT
-A FORWARD -p tcp -m tcp --tcp-flags FIN,SYN,RST,ACK SYN -m limit --limit 1/sec -j ACCEPT
-A FORWARD -p tcp -m tcp --tcp-flags FIN,SYN,RST,ACK RST -m limit --limit 1/sec -j ACCEPT
-A FORWARD -p icmp -m icmp --icmp-type 8 -m limit --limit 1/sec -j ACCEPT
-A FORWARD -i eth0 -m state --state INVALID,RELATED,ESTABLISHED,UNTRACKED -j DROP
-A OUTPUT -s 192.168.1.2 -o eth0 -p tcp -m state --state NEW,ESTABLISHED -m tcp --sport 1024:65535 --dport 21 -j ACCEPT
-A OUTPUT -s 192.168.1.2 -o eth0 -p tcp -m state --state RELATED,ESTABLISHED -m tcp --sport 1024:65535 --dport 20 -j ACCEPT
-A OUTPUT -s 192.168.1.2 -o eth0 -p tcp -m state --state NEW,ESTABLISHED -m tcp --sport 1024:65535 --dport 1024:65535 -j ACCEPT
-A OUTPUT -s 192.168.1.2 -o eth0 -p tcp -m tcp --sport 1024:65535 --dport 80 -j ACCEPT
-A OUTPUT -s 192.168.1.2 -o eth0 -p tcp -m tcp --sport 1024:65535 --dport 443 -j ACCEPT
-A OUTPUT -s 192.168.1.2 -o eth0 -p udp -m udp --sport 32769:65535 --dport 33434:33523 -j ACCEPT
-A OUTPUT -s 192.168.1.2 -o eth0 -p udp -m udp --sport 1024:65535 --dport 4000 -j ACCEPT
-A OUTPUT -o lo -j ACCEPT
-A OUTPUT -d 192.168.0.0/255.255.0.0 -o eth1 -j ACCEPT
-A OUTPUT -s 10.0.0.0/255.0.0.0 -o eth0 -j DROP
-A OUTPUT -s 10.0.0.0/255.0.0.0 -o eth0 -j DROP
-A OUTPUT -s 127.0.0.0/255.0.0.0 -o eth0 -j DROP
-A OUTPUT -s 255.255.255.255 -o eth0 -j DROP
-A OUTPUT -d 0.0.0.0 -o eth0 -j DROP
-A OUTPUT -s 224.0.0.0/240.0.0.0 -o eth0 -j DROP
-A OUTPUT -d 240.0.0.0/248.0.0.0 -o eth0 -j DROP
COMMIT

Удебеленото е грешно.
Объркал си мрежите и маските на двете карти.
Политиката на веригите ти е аксепт във филтър таблицата което обезсмисля всички правила с аксепт в тях.
Респективно не виждам защо режеш неща в аутпут което е доста безсмислена практика на някой уиндоуски фаеруоли.
Препоръчвам да седнеш и да прочетеш много внимателно какво пише на този адрес за работа с иптаблес.

[линк]

както бях казал идеята е политиките да са на дроп, и накрая го направих така белкем тръгне, но нещя.
идеята е да е дроп и ве4е да се разреши там уеб, ирс, и други....

не е нужно да си гений, за да зацепиш, че с повече accept-и няма как да се постигне повече сигурност. пълни простотии...

пове4е дроп, а не ацепт.
идеята е да са дроп после да кажеш разрешавам това, това и това...