# cat /proc/sys/net/ipv4/ip_forward

# Разрешаем dns серверу
iptables -A INPUT  -i ppp0 -p udp --sport 53 -j ACCEPT
iptables -A OUTPUT -o ppp0 -p udp --dport 53 -j ACCEPT

# Разрешаем пинг
iptables -A INPUT  -i ppp0 -p ICMP -j ACCEPT
iptables -A OUTPUT -o ppp0 -p ICMP -j ACCEPT

# Разрешаем ssh серверу
iptables -A INPUT  -i ppp0 -p tcp --dport 22 -j ACCEPT
iptables -A OUTPUT -o ppp0 -p tcp --sport 22 -j ACCEPT

# Разрешаем http серверу
iptables -A INPUT  -i ppp0 -p tcp --dport 80 -j ACCEPT
iptables -A OUTPUT -o ppp0 -p tcp --sport 80 -j ACCEPT
iptables -A INPUT  -i ppp0 -p tcp --sport 80 -j ACCEPT
iptables -A OUTPUT -o ppp0 -p tcp --dport 80 -j ACCEPT

# Разрешаем https серверу
iptables -A INPUT  -i ppp0 -p tcp --dport 443 -j ACCEPT
iptables -A OUTPUT -o ppp0 -p tcp --sport 443 -j ACCEPT

# Разрешаем ssmtp серверу
iptables -A INPUT  -i ppp0 -p tcp --dport 465 -j ACCEPT
iptables -A OUTPUT -o ppp0 -p tcp --sport 465 -j ACCEPT
iptables -A INPUT  -i ppp0 -p tcp --sport 465 -j ACCEPT
iptables -A OUTPUT -o ppp0 -p tcp --dport 465 -j ACCEPT

auto eth0
  iface eth0 inet static
    address 192.168.0.1
    netmask 255.255.255.0
    network 192.168.0.0
    broadcast 192.168.0.255
    up iptables-restore < /etc/iptables.up.rules
    down iptables-save > /etc/iptables.up.rules
    # Также можно:
    pre-up <command>
    post-up <command>

#!/bin/bash
# Тут в принципе может и не надо этого всего но не помеха вдруг какой модуль не подгружен или форвардинг не включен
echo "1" > /proc/sys/net/ipv4/ip_forward
echo "1" > /proc/sys/net/ipv4/ip_dynaddr
modprobe iptable_nat
modprobe ip_conntrack_ftp
modprobe ip_nat_ftp

# Объявление переменных
export IPT="iptables"

# Интерфейс который смотрит в интернет
export WAN=eth0

# Локальная сеть
export LAN=eth1
export LAN_IP_RANGE=192.168.1.80

# Очистка всех цепочек iptables
$IPT -F
$IPT -F -t nat
$IPT -F -t mangle
$IPT -X
$IPT -t nat -X
$IPT -t mangle -X

# Закрываем изначально ВСЁ (т.е. изначально все что не разрешено - запрещено):
$IPT -P INPUT DROP
$IPT -P OUTPUT DROP
$IPT -P FORWARD DROP

# разрешаем локальный траффик для loopback и внутренней сети
$IPT -A INPUT -i lo -j ACCEPT
$IPT -A INPUT -i $LAN -j ACCEPT
$IPT -A OUTPUT -o lo -j ACCEPT
$IPT -A OUTPUT -o $LAN -j ACCEPT

# Состояние ESTABLISHED говорит о том, что это не первый пакет в соединении.
# Пропускать все уже инициированные соединения, а также дочерние от них
$IPT -A INPUT -p all -m state --state ESTABLISHED,RELATED -j ACCEPT

# Пропускать новые, а так же уже инициированные и их дочерние соединения
$IPT -A OUTPUT -p all -m state --state ESTABLISHED,RELATED -j ACCEPT

# Разрешить форвардинг для новых, а так же уже инициированных и их дочерних соединений
$IPT -A FORWARD -p all -m state --state ESTABLISHED,RELATED -j ACCEPT

# Включаем фрагментацию пакетов. Необходимо из за разных значений MTU
$IPT -I FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu

# Отбрасывать все пакеты, которые не могут быть идентифицированы и поэтому не могут иметь определенного статуса.
$IPT -A INPUT -m state --state INVALID -j DROP
$IPT -A FORWARD -m state --state INVALID -j DROP

# Приводит к связыванию системных ресурсов, так что реальный обмен данными становится не возможным.
$IPT -A INPUT -p tcp ! --syn -m state --state NEW -j DROP
$IPT -A OUTPUT -p tcp ! --syn -m state --state NEW -j DROP

# Разрешаем доступ из внутренней сети наружу
$IPT -A FORWARD -i $LAN -o $WAN -j ACCEPT

# Запрещаем доступ снаружи во внутреннюю сеть
$IPT -A FORWARD -i $WAN -o $LAN -j REJECT

# Маскарадинг
$IPT -t nat -A POSTROUTING -o $WAN -s $LAN_IP_RANGE -j MASQUERADE

#**************************ОТКРЫВАЮ ПОРТЫ********************************
# Разрешаем dns серверу
$IPT -A INPUT  -i $WAN -p udp --sport 53 -j ACCEPT
$IPT -A OUTPUT -o $WAN -p udp --dport 53 -j ACCEPT

# Разрешаем пинг
$IPT -A INPUT  -i $WAN -p ICMP -j ACCEPT
$IPT -A OUTPUT -o $WAN -p ICMP -j ACCEPT

# Разрешаем ssh серверу
$IPT -A INPUT  -i $WAN -p tcp --dport 22 -j ACCEPT
$IPT -A OUTPUT -o $WAN -p tcp --sport 22 -j ACCEPT

# Разрешаем http серверу
$IPT -A INPUT  -i $WAN -p tcp --dport 80 -j ACCEPT
$IPT -A OUTPUT -o $WAN -p tcp --sport 80 -j ACCEPT
$IPT -A INPUT  -i $WAN -p tcp --sport 80 -j ACCEPT
$IPT -A OUTPUT -o $WAN -p tcp --dport 80 -j ACCEPT

# Разрешаем https серверу
$IPT -A INPUT  -i $WAN -p tcp --dport 443 -j ACCEPT
$IPT -A OUTPUT -o $WAN -p tcp --sport 443 -j ACCEPT

# Разрешаем ssmtp серверу
$IPT -A INPUT  -i $WAN -p tcp --dport 465 -j ACCEPT
$IPT -A OUTPUT -o $WAN -p tcp --sport 465 -j ACCEPT
$IPT -A INPUT  -i $WAN -p tcp --sport 465 -j ACCEPT
$IPT -A OUTPUT -o $WAN -p tcp --dport 465 -j ACCEPT


#************************************************************************
# Вывод информации о состоянии
$IPT -L

# This file describes the network interfaces available on your system
# and how to activate them. For more information, see interfaces(5).

# The loopback network interface
auto lo
        iface lo inet loopback
        pre-up echo "1" > /proc/sys/net/ipv4/ip_forward  # Включаем форвардинг пакетов
        pre-up iptables-restore < /etc/ip_rulles.lst     # Загружаем правила
        post-down iptables-save > /etc/ip_rulles.lst     # Сохраняем правила

# The primary network interface
allow-hotplug eth0
iface eth0 inet static
        address 192.168.55.22
        netmask 255.255.255.0
        network 192.168.55.0
        broadcast 192.168.55.255
        gateway 192.168.55.11
        # dns-* options are implemented by the resolvconf package, if installed
        dns-nameservers 194.158.206.206 193.232.248.2
        dns-search by

auto eth1
iface eth1 inet static
        address 192.168.1.99
        netmask 255.255.255.0
        network 192.168.1.0
        broadcast 192.168.1.255

export LAN_IP_RANGE=192.168.1.80