Мне проще правила iptables показать.
Нажмите здесь, чтобы увидеть текст полностью
#!/bin/sh
echo 1 > /proc/sys/net/ipv4/ip_forward
IPTABLES="/sbin/iptables"
EXTIF="eth1"
INTIF="eth0"
$IPTABLES -P INPUT ACCEPT
$IPTABLES -F INPUT
$IPTABLES -P OUTPUT ACCEPT
$IPTABLES -F OUTPUT
$IPTABLES -P FORWARD DROP
$IPTABLES -F FORWARD
$IPTABLES -t nat -F
$IPTABLES -A FORWARD -i $EXTIF -o $INTIF -m state --state ESTABLISHED,RELATED -j ACCEPT
$IPTABLES -t nat -A PREROUTING -d 10.1.1.2 -p tcp --sport 1024:65535 --dport 3389 -j DNAT --to-destination 192.168.1.100
$IPTABLES -t nat -A POSTROUTING -p tcp --dst 192.168.1.100 --dport 3389 -j SNAT --to-source 192.168.1.1
$IPTABLES -t nat -A PREROUTING -d 10.1.1.2 -p tcp --sport 1024:65535 --dport 4899 -j DNAT --to-destination 192.168.1.77
$IPTABLES -t nat -A POSTROUTING -p tcp --dst 192.168.1.77 --dport 4899 -j SNAT --to-source 192.168.1.1
#Kazan_kpk 6000
$IPTABLES -t nat -A PREROUTING -d 10.1.1.2 -p tcp --sport 1024:65535 --dport 6000 -j DNAT --to-destination 192.168.1.77
$IPTABLES -t nat -A PREROUTING -d 10.1.1.2 -p tcp --sport 1024:65535 --dport 3050 -j DNAT --to-destination 192.168.1.77
$IPTABLES -t nat -A POSTROUTING -p tcp --dst 192.168.1.77 --dport 6000 -j SNAT --to-source 192.168.1.1
$IPTABLES -t nat -A POSTROUTING -p tcp --dst 192.168.1.77 --dport 3050 -j SNAT --to-source 192.168.1.1
#probros porta s vneshnei seti na voip shluz
#$IPTABLES -t nat -A PREROUTING -d 10.1.1.2 -p tcp --sport 1024:65535 --dport 80 -j DNAT --to-destination 192.168.1.10
$IPTABLES -t nat -A POSTROUTING -p tcp --dst 192.168.1.10 --dport 80 -j SNAT --to-source 192.168.1.1
$IPTABLES -t nat -A PREROUTING -d 10.1.1.2 -p tcp --sport 1024:65535 --dport 5060 -j DNAT --to-destination 192.168.1.10
$IPTABLES -t nat -A PREROUTING -d 10.1.1.2 -p udp --sport 1024:65535 --dport 5060 -j DNAT --to-destination 192.168.1.10
#Link1 Pravilo probrosa 80-go porta iz vnuntrennei seti na modem
$IPTABLES -t nat -A PREROUTING -d 192.168.1.1 -p tcp --sport 1024:65535 --dport 80 -j DNAT --to-destination 10.1.1.1
$IPTABLES -t nat -A PREROUTING -d 192.168.1.1 -p udp --sport 1024:65535 --dport 80 -j DNAT --to-destination 10.1.1.1
$IPTABLES -t nat -A POSTROUTING -p tcp --dst 192.168.1.10 --dport 5060 -j SNAT --to-source 192.168.1.1
$IPTABLES -t nat -A POSTROUTING -p udp --dst 192.168.1.10 --dport 5060 -j SNAT --to-source 192.168.1.1
#VPN
$IPTABLES -A FORWARD -p 47 -s 172.20.1.0/24 -j ACCEPT
$IPTABLES -A INPUT -p tcp --dport 1723 -j ACCEPT
$IPTABLES -t nat -A POSTROUTING -s 172.20.1.0/255.255.255.0 -j MASQUERADE
$IPTABLES -t nat -A POSTROUTING -d 172.20.1.0/255.255.255.0 -j MASQUERADE
#Link1
$IPTABLES -t nat -A POSTROUTING -p tcp --dst 10.1.1.2 --dport 80 -j SNAT --to-source 10.1.1.1
$IPTABLES -t nat -A POSTROUTING -p udp --dst 10.1.1.2 --dport 80 -j SNAT --to-source 10.1.1.1
$IPTABLES -A FORWARD -i $INTIF -o $EXTIF -j ACCEPT
$IPTABLES -A FORWARD -j LOG --log-level info
$IPTABLES -A FORWARD -p tcp --dport 3389 -j ACCEPT
$IPTABLES -A FORWARD -p tcp --dport 6000 -j ACCEPT
$IPTABLES -A FORWARD -p tcp --dport 3050 -j ACCEPT
$IPTABLES -A FORWARD -p tcp --dport 80 -j ACCEPT
$IPTABLES -A FORWARD -p tcp --dport 5060 -j ACCEPT
$IPTABLES -A FORWARD -p udp --dport 5060 -j ACCEPT
$IPTABLES -A FORWARD -p tcp --dport 4899 -j ACCEPT
$IPTABLES -A FORWARD -p udp --dport 4899 -j ACCEPT
$IPTABLES -A FORWARD -s 192.168.1.100 -p tcp --sport 3389 -j ACCEPT
#Kazan_kpk 6000
$IPTABLES -A FORWARD -s 192.168.1.77 -p tcp --sport 6000 -j ACCEPT
#$IPTABLES -A FORWARD -s 192.168.1.77 -p tcp --sport 4899 -j ACCEPT
$IPTABLES -A FORWARD -s 192.168.1.77 -p tcp --sport 3050 -j ACCEPT
$IPTABLES -A FORWARD -s 192.168.1.10 -p tcp --sport 5060 -j ACCEPT
$IPTABLES -A FORWARD -s 192.168.1.10 -p udp --sport 5060 -j ACCEPT
#Link1
$IPTABLES -A FORWARD -s 10.1.1.1 -p tcp --sport 80 -j ACCEPT
$IPTABLES -A FORWARD -s 10.1.1.1 -p udp --sport 80 -j ACCEPT
$IPTABLES -A INPUT -p tcp --dport 3389 -j ACCEPT
$IPTABLES -A INPUT -p tcp --dport 6000 -j ACCEPT
$IPTABLES -A INPUT -p tcp --dport 3050 -j ACCEPT
$IPTABLES -A INPUT -p tcp --dport 5060 -j ACCEPT
$IPTABLES -A INPUT -p udp --dport 5060 -j ACCEPT
$IPTABLES -A INPUT -p tcp --dport 4899 -j ACCEPT
$IPTABLES -A INPUT -p udp --dport 4899 -j ACCEPT
#Link1
$IPTABLES -A INPUT -p tcp --dport 80 -j ACCEPT
$IPTABLES -A INPUT -p udp --dport 80 -j ACCEPT
$IPTABLES -t nat -A POSTROUTING -o $EXTIF -j MASQUERADE
# MDM Bank
#$IPTABLES -A FORWARD -i eth0 -o eth1 -p tcp --dport 4434 -j ACCEPT
#$IPTABLES -A FORWARD -i eth1 -o eth0 -m state --state RELATED,ESTABLISHED -j ACCEPT
$IPTABLES -A INPUT -p tcp --dport 4434 -j ACCEPT
$IPTABLES -A FORWARD -p tcp --sport 4434 -j ACCEPT