Вот скрипт, который делает (посредством тех же iptables) из компьютера роутер с указанием списка разрешённых узлов. Написан так, чтобы можно было положить в /etc/init.d и рулить командами service router start и service router stop.
#!/bin/sh
### BEGIN INIT INFO
# Default-Start: 2 3 4 5
# Default-Stop: 0 1 6
# Short-Description: Firewall and forwarding
# Description: Firewall and forwarding
### END INIT INFO
case "$1" in
start)
;;
restart)
;;
stop)
exit 1
;;
*)
echo "Usage: $0 {start|stop|restart}"
exit 1
;;
esac
ALLOWED_HOSTS="10.1.28.32 "\
"10.1.28.35 "\
"169.254.12.113 "\
"192.168.2.119"
IPT=iptables
# Определяем интерфейсы
EXTIF=eth1
INTIF1=eth0
echo "Включается маршрутизация c $EXTIF в локальную сеть $INTIF1"
echo "Список машин с разрешённым доступом в интернет: $(echo $ALLOWED_HOSTS | sed 's/ /; /g')"
# Включаем форвардинг ip в ядре.
echo 1 > /proc/sys/net/ipv4/ip_forward
# Сбросить правила и удалить цепочки
$IPT -F
$IPT -t nat -F
$IPT -t mangle -F
$IPT -X
$IPT -t nat -X
$IPT -t mangle -X
# ========
# Общие правила
# ========
# Политики
$IPT -P FORWARD DROP
$IPT -P INPUT ACCEPT
$IPT -P OUTPUT ACCEPT
# Замена TTL (Делаем такой, какой был до маршрутизации)
$IPT -t mangle -A PREROUTING -i $INTIF1 -j TTL --ttl-inc 1
# Включаем маскарадинг для разрешения доступа в интернет
$IPT -t nat -A POSTROUTING -o $EXTIF -j MASQUERADE
#$IPT -t nat -A POSTROUTING -o $INTIF1 -j MASQUERADE
# Proper MTU
$IPT -t mangle -A POSTROUTING -p tcp --tcp-flags SYN,RST SYN -o $EXTIF -j TCPMSS --clamp-mss-to-pmtu
# ========
# Правила для отдельных компов
# ========
# Форвардить сетевой траффик с $INTIF1 на интернетовский интерфейс $EXTIF и обратно
# А также траффик в/из локалки
for HOST in $ALLOWED_HOSTS
do
# IPP
#$IPT -A INPUT -p tcp --dport 631 -s $HOST -j ACCEPT
# Инет
$IPT -A FORWARD -i $INTIF1 -o $EXTIF -s $HOST -j ACCEPT
$IPT -A FORWARD -o $INTIF1 -i $EXTIF -d $HOST -j ACCEPT
# -m state --state NEW,ESTABLISHED,RELATED
# Локалка
# -s $HOST -d 172.16.0.0/12
#$IPT -A FORWARD -i $INTIF1 -o $INTIF1 -j ACCEPT
# -d $HOST -s 172.16.0.0/12
#$IPT -A FORWARD -i $INTIF1 -o $INTIF1 -j ACCEPT
done
# Drop IPP packets from unknown hosts
#$IPT -A INPUT -p tcp --dport 631 -j DROPЕсли у вас статические ip у компьютеров, которым нужен доступ в сеть, просто пропишите их в этот сценарий. Если динамические — напишите какой-нибудь простой клиент для авторизации и добавления к правилам при авторизации.
PS. И да, это отлично работает, когда в компьютере одна сетевая карта, на которой подняты интерфейсы eth0 (локальная сеть) и ppp0 (интернет). Тестировалось в течение двух лет 