iptables -I FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu 

#!/bin/bash

# Объявление переменных
export IPT="iptables"

# Интерфейс который смотрит в интернет
export WAN=ppp0

# Локальная сеть
export LAN=br0
export LAN_IP_RANGE=192.168.1.0/24

# Очистка всех цепочек iptables
$IPT -F
$IPT -F -t nat
$IPT -F -t mangle
$IPT -X
$IPT -t nat -X
$IPT -t mangle -X

# Закрываем изначально ВСЁ (т.е. изначально все что не разрешено - запрещено):
$IPT -P INPUT DROP
$IPT -P OUTPUT DROP
$IPT -P FORWARD DROP

# разрешаем локальный траффик для loopback и внутренней сети
$IPT -A INPUT -i lo -j ACCEPT
$IPT -A INPUT -i $LAN -j ACCEPT
$IPT -A OUTPUT -o lo -j ACCEPT
$IPT -A OUTPUT -o $LAN -j ACCEPT

# Состояние ESTABLISHED говорит о том, что это не первый пакет в соединении.
# Пропускать все уже инициированные соединения, а также дочерние от них
$IPT -A INPUT -p all -m state --state ESTABLISHED,RELATED -j ACCEPT
# Пропускать новые, а так же уже инициированные и их дочерние соединения
$IPT -A OUTPUT -p all -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
# Разрешить форвардинг для новых, а так же уже инициированных и их дочерних соединений
$IPT -A FORWARD -p all -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT

# Включаем фрагментацию пакетов. Необходимо из за разных значений MTU
$IPT -I FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu

# Отбрасывать все пакеты, которые не могут быть идентифицированы и поэтому не могут иметь определенного статуса.
$IPT -A INPUT -m state --state INVALID -j DROP
$IPT -A FORWARD -m state --state INVALID -j DROP

# Приводит к связыванию системных ресурсов, так что реальный обмен данными становится не возможным.
$IPT -A INPUT -p tcp ! --syn -m state --state NEW -j DROP
$IPT -A OUTPUT -p tcp ! --syn -m state --state NEW -j DROP

# Разрешаем доступ из внутренней сети наружу
$IPT -A FORWARD -i $LAN -o $WAN -j ACCEPT

# Запрещаем доступ снаружи во внутреннюю сеть
$IPT -A FORWARD -i $WAN -o $LAN -j REJECT

# Маскарадинг
$IPT -t nat -A POSTROUTING -o $WAN -s $LAN_IP_RANGE -j MASQUERADE
$IPT -t nat -A POSTROUTING -o eth0 -s $LAN_IP_RANGE -j MASQUERADE

# Далее дано как пример открытие портов извне:
# **********************************************************************
# Открываем порт для ssh
$IPT -A INPUT -i $WAN -p tcp --dport 22 -m recent --name ssh --update --seconds 3600 --hitcount 4 -j REJECT
$IPT -A INPUT -i $WAN -p tcp --dport 22 -m recent --name ssh --set
$IPT -A INPUT -i $WAN -p tcp --dport 22 -m recent --name ssh ! --rcheck --seconds 30 --hitcount 2 -j REJECT
$IPT -A INPUT -i $WAN -p tcp --dport 22 -j ACCEPT


# Открытие портов для торрентов (такие же указать в torrent-клиенте)
$IPT -A INPUT -i $WAN -p tcp -m multiport --ports 50100:51100 -j ACCEPT

Sep 19 19:43:40 debian pppd[2789]: Connection terminated.
Sep 19 19:43:41 debian pptp[3205]: anon warn[decaps_hdlc:pptp_gre.c:204]: short read (-1): Input/output error
Sep 19 19:43:41 debian pptp[3205]: anon warn[decaps_hdlc:pptp_gre.c:216]: pppd may have shutdown, see pppd log
Sep 19 19:43:41 debian pptp[3213]: anon log[callmgr_main:pptp_callmgr.c:234]: Closing connection (unhandled)
Sep 19 19:43:41 debian pptp[3213]: anon log[ctrlp_rep:pptp_ctrl.c:251]: Sent control packet type is 12 'Call-Clear-Request'
Sep 19 19:43:41 debian pptp[3213]: anon log[call_callback:pptp_callmgr.c:79]: Closing connection (call state)
Sep 19 19:43:43 debian pptp[3186]: anon log[decaps_gre:pptp_gre.c:405]: discarding duplicate or old packet 11 (expecting 450656)
...
Sep 19 19:43:58 debian pptp[2850]: anon log[decaps_gre:pptp_gre.c:414]: buffering packet 675893 (expecting 675892, lost or reordered)
...
Sep 19 19:43:58 debian rsyslogd-2177: imuxsock begins to drop messages from pid 2850 due to rate-limiting
Sep 19 19:43:58 debian pppd[2832]: LCP: timeout sending Config-Requests
Sep 19 19:43:58 debian pppd[2832]: Connection terminated.
Sep 19 19:43:58 debian pppd[2832]: Modem hangup
Sep 19 19:43:58 debian pptp[3186]: anon warn[decaps_hdlc:pptp_gre.c:204]: short read (-1): Input/output error
Sep 19 19:43:58 debian pptp[3186]: anon warn[decaps_hdlc:pptp_gre.c:216]: pppd may have shutdown, see pppd log
Sep 19 19:43:58 debian pptp[3195]: anon log[callmgr_main:pptp_callmgr.c:234]: Closing connection (unhandled)
Sep 19 19:43:58 debian pptp[3195]: anon log[ctrlp_rep:pptp_ctrl.c:251]: Sent control packet type is 12 'Call-Clear-Request'
Sep 19 19:43:58 debian pptp[3195]: anon log[call_callback:pptp_callmgr.c:79]: Closing connection (call state)
Sep 19 19:44:04 debian rsyslogd-2177: imuxsock lost 2081 messages from pid 2850 due to rate-limiting
Sep 19 19:44:04 debian pptp[2850]: anon warn[decaps_gre:pptp_gre.c:426]: discarding bogus packet 678175 (expecting 676191)