Ubuntu 12.04 - проблемы с фильтрацией пакетов

0

1

Есть набор правил который загружается при загрузке системы из файла /etc/network/if-pre-up.d/netfilter-rules с помощью iptables-restore:

#!/sbin/iptables-restore
# Generated by iptables-save v1.4.12 on Wed May  2 18:28:47 2012
*nat
:PREROUTING ACCEPT [0:0]
:INPUT ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
:POSTROUTING ACCEPT [0:0]
-A POSTROUTING -s 192.168.X.X/24 -o eth0 -j SNAT --to-source X.X.X.X
COMMIT
# Completed on Wed May  2 18:28:47 2012
# Generated by iptables-save v1.4.12 on Wed May  2 18:28:47 2012
*filter
:INPUT DROP [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [19:13580]
:BAD_PACKETS - [0:0]
:ICMP_PACKETS - [0:0]
:SAFETY_TRACE - [0:0]
:TCP_PACKETS - [0:0]
:UDP_PACKETS - [0:0]
-A INPUT -j SAFETY_TRACE
-A INPUT -j BAD_PACKETS
-A INPUT -p tcp -j TCP_PACKETS
-A INPUT -p udp -j UDP_PACKETS
-A INPUT -p icmp -j ICMP_PACKETS
-A BAD_PACKETS -m conntrack --ctstate INVALID -j DROP
-A BAD_PACKETS -f -j DROP
-A BAD_PACKETS -s 127.0.0.0/8 ! -i lo -j DROP
-A BAD_PACKETS -p tcp -m tcp --tcp-flags SYN,ACK SYN,ACK -m conntrack --ctstate INVALID,NEW -j LOG --log-prefix "iptabler:ip spoofing: "
-A BAD_PACKETS -p tcp -m tcp --tcp-flags SYN,ACK SYN,ACK -m conntrack --ctstate INVALID,NEW -j REJECT --reject-with tcp-reset
-A BAD_PACKETS -p tcp -m tcp ! --tcp-flags FIN,SYN,RST,ACK SYN -m conntrack --ctstate NEW -m limit --limit 3/min -j LOG --log-prefix "iptabler:new not syn: "
...
Ну и так далее

Так вот - он не работает. Т.е. если сделать листинг правил, то все нормально - вот они - загрузились. Но пакеты не ходя. В частности не пашет форвардинг. Если же запустить bash скрипт который их устанавливает - то все пашет. При этом листинг правил ИДЕНТИЧЕН.

В чем может быть трабла.