Привет всем!!
Помогите разобраться плиз. Есть шлюз с двумя физическими интерфейсами и одим tap0 для vpn. VPN настроен, работает. Теперь настраиваю iptables. Мне нужно, чтобы клиенты не имели выхода в интернет, но имели полный доступ к сетям, связанным по VPN. Что делаю:
1) Задаю дефолтную политику
INPUT - DROP
OUTPUT - ACCEPT
FORWARD - DROP
Вариант 2.1)
$IPT -A FORWARD -i $LAN_IFACE -j ACCEPT
$IPT -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT
Вариант 2.2)
$IPT -A FORWARD -i $LAN_IFACE -o $VPN_IFACE -j ACCEPT
$IPT -A FORWARD -i $VPN_IFACE -o $LAN_IFACE -j ACCEPT
$IPT -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT
При варианте 2.1 все работает. Но тогда у меня клиенты смогут лезть как в vpn, так и в инет. Мне нужно жестко задать разрешенный маршрут - из локального интерфейса в виртуальный и обратно. Однако вариант 2.2 почему-то не работает. Только включаю эти правила - пинг с удаленной сетью пропадает.