все это Вы тоже делала в иптаблах? подскажите на Вашем примере как это реализовать?

как не странно, но неработает не при включенном PPPoE соединении на клиентской машине, и без включеннного PPPoE.

будет работать если только добавить после iptables -P FORWARD DROP:
iptables -I FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT

и то, только при локальном подключении Интернет будет доступен, но при PPPoE соединении неработает.

напомню, eth0 - интерфейс с интернетом
eth1 - локальная сеть

#!/bin/sh
iptables -F INPUT
iptables -F FORWARD
iptables -F OUTPUT
iptables -P INPUT ACCEPT
iptables -P OUTPUT ACCEPT
iptables -P FORWARD ACCEPT
iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE

echo "1" > /proc/sys/net/ipv4/ip_forward

iptables -P FORWARD DROP
iptables -A FORWARD -m mac --mac-source 00:0C:29:0F:73:37 -j ACCEPT

не работает, при этом сам шлюз прекращает видеть интернет
при комманде reboot не хочет перезагружаться останавливается на сообщение - Stopping portmap daemon...

ох, не одно - так другое

А насчёт данной проблемы при ребуте возникает когда закрываешь доступ петле lo smile  так на заметку.
И зачем сразу ребут. Зделай проще sh /home/firewall.sh #ну или где он там

пакеты дропаются, но разрешение по МАКу почему-то неработает

да не вижу особого смысла.

Пока негде поэксментировать. Ну на днях обязательно тестаню).

Вас не дождался, сам "догнал"

как всем известно при коннекте клиента к PPPoE серверу на сервере создается отдельный интерфейс пользователя, в файле chap-secret (либо любой другой файл, например: pap-secrets, смотря какой Вы выбрали файл аунтефикации) где хранятся логины и пароли для каждого пользователя мы можем задать выдачу статического ип адреса. Например: пользователю tnega, с паролем tnega мы можем назначить ип адрес 192.168.100.1

iptables -P FORWARD DROP # запрещаем хождение трафика
iptables -I FORWARD -m state --state RELATED, ESTABLISHED -j ACCEPT
iptables -A FORWARD -i ppp+ -s 192.168.100.1 -j ACCEPT # разрешаем пользователю tnega с ип адресом 192.168.100.1 ходить в интернет. и не важно какой интерфейс PPP ему выдался сервером (может PPP1 или PPP4) .

Проблема следующего рода - шейпер прикручить

Допустим - у пользователя разные тарифные планы и разная скорость, казалось бы можно сделать такой скриптик:

#!/bin/bash

/sbin/tc qdisc add dev ppp1 root handle 1: htb default 30
/sbin/tc class add dev ppp1 parent 1: classid 1:1 htb rate 100mbit burst 15k
/sbin/tc class add dev ppp1 parent 1:1 classid 1:10 htb rate 1024kbit ceil 1mbit burst 15k

/sbin/tc qdisc add dev ppp1 parent 1:10 handle 10: sfq perturb 10

/sbin/tc filter add dev ppp1 parent 1:0 protocol ip prio 1 u32 match ip dst 192.168.100.1 flowid 1:10

/sbin/tc qdisc add dev ppp1 handle ffff: ingress
/sbin/tc filter add dev ppp1 parent ffff: protocol ip prio 50 u32 match ip src 192.168.100.1 police rate 1mbit burst 10k drop flowid :1

но он будет работать только на интерфейсе ppp1, а этот интерфейс естественно может достаться кому угодно

в rp-pppoe как я понимаю нельзя делать привязку пользователей к определенному интерфейсу?
Читал про ip-up.d в папке etc/ppp/ - надо будет покапаться... думаю, что можно будет сделать файл шейпера, и переменную интерфейса, и чтоб при поднятии каждого ppp интерфейса срабатывал скрипт шейпера. НУ и естественно указать скорость для каждого ип адреса

правильно и понятно ли я выразился? поидее должно сработать, если я конечно в правильном направлении думаю
и при падении интерфейса ppp? в ip-down.d так же написать скрипт дл очистки правл tc для определенного интерфейса переменной

tnega, почему вы не хотите после поднятия ppp выяснить, какой интерфейс мы подняли, а затем подправить скрипт шейпера, что-бы он шейпил именно этот интерфейс?