// касается только входящего трафика, который предназначен текущему серверу (на котором обрабатываются правила фаервола)
-A INPUT -s 192.168.2.100/32 -j ACCEPT // разрешает входящий трафик с узла 192.168.2.100
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT // разрешает трафик, квалифицирующийся как RELATED, ESTABLISHED (будут использоваться ftp, irc, etc хелперы)
-A INPUT -p icmp -j ACCEPT // разрешается входящий icmp-трафик
-A INPUT -i lo -j ACCEPT // разрешение прохождения входящего трафика по lo-интерфейсу
-A INPUT -s 192.168.2.0/24 -d 192.168.2.1/32 -i eth2 -p udp -m state --state NEW -m udp --dport 123 -j ACCEPT // разрешает входящий трафик по порту udp:123 (time service похоже)
// далее правила, которые применяются к трафику, проходящему через сервер, но не на сам сервер
-A FORWARD -s 192.168.2.100/32 -i eth2 -j ACCEPT // разрешить прохождение пакетов, которые пришли с узла 192.168.2.100 через интерфейс eth2
-A FORWARD -d 192.168.2.100/32 -i eth0 -j ACCEPT // разрешить прохождение пакетов, которые предназначены узлу 192.168.2.100 и пришли через интерфейс eth0
-A FORWARD -s 192.168.2.0/24 -d 192.168.0.0/23 -i eth2 -o eth1 -j ACCEPT // разрешить пакеты из сети 192.168.2.0/24 (пришедшие по интерфейсу eth2) в сеть 192.168.0.0/23 (но только те пакеты, которые будут отправлены через интерфейс eth1)
*nat
// таблица, в которой производится модификация пакетов
// правила из цепочки PREROUTING будут обрабатываться ДО принятия решения о маршрутизации пакета
// изменение адреса назначения пакетов на 192.168.2.4 (порты 143, 110, 25. похоже на mail-сервер)
-A PREROUTING -i eth0 -p tcp -m tcp --dport 143 -j DNAT --to-destination 192.168.2.4
-A PREROUTING -i eth0 -p tcp -m tcp --dport 110 -j DNAT --to-destination 192.168.2.4
-A PREROUTING -i eth0 -p tcp -m tcp --dport 25 -j DNAT --to-destination 192.168.2.4
// а здесь идет проброс порта 15464(udp) на 192.168.2.100
-A PREROUTING -i eth0 -p udp -m udp --dport 15464 -j DNAT --to-destination 192.168.2.100
// далее правило для nat-а всех исходящих пакетов (которые после применения правил маршрутизации уйдут с интерфейса eth0)
-A POSTROUTING -o eth0 -j SNAT --to-source 77.247.211.215
Судя по правилам фаервола, для 192.168.2.100 выделяется только один "прямой" входящий порт - 15464(udp). Все компы сети натятся в 77.247.211.215
Отсутствие правил для прозрачного проксирования говорит о том, что с высокой вероятностью на компах пользователей настроен выход в сеть через прокси (т.е. в ПО в соответствующих настройках указан ip-адрес прокси-сервера)
Если же на компах пользователей не вводятся настройки прокси, то есть вероятность того, что шлюзом для них выступает другой сервер, который и производит прозрачное проксирование для всей сети, кроме 192.168.2.100
И баба с воза, и волки сыты...
