проблема с совместной работой биллинга и vpn

Есть сервер с двумя сетевухами - eth0 смотрит в интернет, eth1 в локалку. На сервере стоит биллинг Traffpro. Нужно поднять впн, чтобы сотрудники могли из дома попадать в рабочую сеть

pptpd настроен, с отключённым traffpro и сброшенными правилами iptables все работает нормально - удалённые клиенты подключаются, сеть видят. После запуска Traffpro, который подгружает собственные правила фаерволла, юзеры подключающиеся по vpn теряют доступ в сеть, но сам сервер по внутреннему ипишнику (eth1) пингуется. Правила iptables просмотрел, ничего запрещающего маршрутизацию не заметил, форвардинг пакетов включен. Куда копать?

iptables:

server# cat /etc/traffpro/traffpro_rule.cfg
iptables -A INPUT -m tcp -p tcp --dport 22 -j ACCEPT
iptables -A OUTPUT -m tcp -p tcp --sport 22 -j ACCEPT
iptables -A INPUT -p gre -j ACCEPT
iptables -A INPUT -m tcp -p tcp --dport 1723 -j ACCEPT
iptables -t mangle -A PREROUTING -p tcp --dport 80 -d 172.16.0.0/255.255.0.0 -j ACCEPT
iptables -t mangle -A PREROUTING -s 172.16.0.0/255.255.0.0 -p tcp --dport 80 -j QUEUE
iptables -t mangle -A PREROUTING -s 172.16.0.0/255.255.0.0 -p tcp --dport 3128 -j QUEUE
iptables -t nat -A PREROUTING -m tcp -p tcp -s 172.16.0.0/255.255.0.0 -d ! 172.16.0.0/255.255.0.0 --dport 80 -j REDIRECT --to-ports 3128
iptables -A INPUT -s 172.16.0.0/255.255.0.0 -m tcp -p tcp --dport 3128 -j ACCEPT
iptables -A OUTPUT -p tcp -d 172.16.0.0/255.255.0.0 --sport 3128 -j QUEUE
modprobe ip_conntrack_ftp
modprobe ip_nat_ftp
modprobe ip_gre
modprobe ip_conntrack_pptp
modprobe ip_nat_pptp

server# iptables -t mangle -L
Chain PREROUTING (policy ACCEPT)
target prot opt source destination
ACCEPT tcp -- anywhere localnet/16 tcp dpt:www
QUEUE tcp -- localnet/16 anywhere tcp dpt:www
QUEUE tcp -- localnet/16 anywhere tcp dpt:3128

Chain INPUT (policy ACCEPT)
target prot opt source destination

Chain FORWARD (policy ACCEPT)
target prot opt source destination

Chain OUTPUT (policy ACCEPT)
target prot opt source destination

Chain POSTROUTING (policy ACCEPT)
target prot opt source destination

server# iptables -t filter -L
Chain INPUT (policy DROP)
target prot opt source destination
ACCEPT tcp -- anywhere anywhere tcp dpt:ssh
ACCEPT gre -- anywhere anywhere
ACCEPT tcp -- anywhere anywhere tcp dpt:1723
ACCEPT tcp -- localnet/16 anywhere tcp dpt:3128
ACCEPT all -- anywhere anywhere
QUEUE all -- anywhere anywhere
ACCEPT all -- anywhere anywhere

Chain FORWARD (policy DROP)
target prot opt source destination
QUEUE all -- anywhere anywhere

Chain OUTPUT (policy DROP)
target prot opt source destination
ACCEPT tcp -- anywhere anywhere tcp spt:ssh
QUEUE tcp -- anywhere localnet/16 tcp spt:3128
ACCEPT all -- anywhere anywhere
QUEUE all -- anywhere anywhere
ACCEPT all -- anywhere anywhere

server# iptables -t nat -L
Chain PREROUTING (policy ACCEPT)
target prot opt source destination
REDIRECT tcp -- localnet/16 !localnet/16 tcp dpt:www redir ports 3128

Chain POSTROUTING (policy ACCEPT)
target prot opt source destination
SNAT all -- anywhere anywhere to:внешний_ипишник

Chain OUTPUT (policy ACCEPT)
target prot opt source destination