iptables -P FORWARD DROP
iptables -A FORWARD -s 10.44.0.0/16 -o  $wan -j ACCEPT

?

В общем так NAT полнлстью лег и не поднимается Ошибка : ACCEPT

теперь у меня NAT упал  после совета

 iptables -P FORWARD DROP
iptables -A FORWARD -s 10.44.0.0/16 -o  $wan -j ACCEPT

и не поднимается .  ACCEPT не воспринялся Еклмн Хорошо что у меня второй комп настроенный есть.
И причем здесь WAN у меня проводная сеть только к ней точки доступа подключены

Не отключается этот :FORWARD DROP [0:0]  даже если сделать

iptables -t filter -F

Караул, что делать, неуж-то всю систему переставлять?

НО всё равно после перезагрузки этот DROP выползает да и iptables -A FORWARD  никак никак на iptables не вияет атолько не ругается об ошибках как в случаях  с ACCEPT , но уже этот DROP  не с [0:0] а  с численными значениями и FORWARD не проходит. Как убить фильтр а NAT оставить?

Ккакой я лопух    Ведь равильно надо писать

iptables -P FORWARD ACCEPT

Всё работает а Ёжик так в тумане и остался 

Чем плох DROP? И почему в самых крайних случаях?
Довольно удобно (по крайней мере мне) для nat-а использовать приблизительно такие правила:

-P FORWARD DROP
-A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -m tcp -p tcp --dport 110 -j ACCEPT -m comment --comment "POP3"
-A FORWARD -m tcp -p tcp --dport 25 -j ACCEPT -m comment --comment "SMTP"
...

А далее для юзеров, которым необходим прямой доступ в сеть (мимо nat-а) добавляются строчки (по одной для каждого, хотя можно использовать ipset):

USER_ADDRESS="192.168.0.15"
USER_NAME="some user"
-A FORWARD -s ${USER_ADDRESS} -j ACCEPT -m comment --comment "free proxy: ${USER_NAME}"

Во очевидно довольно поверхностно знакомы с iptables или  не читаете того  что вы пишете , потому что у вас одна строка противорецит другой Я тоже не дока но вот   что я нарыл: При любой системе в командной строке писать  # iptables -A   это грубейшая ошибка !!!! ( - A стоит только в в уже сформированных  скриптах iptables-save и т.д.)   В командной строке надо -P   Кроме того  в манах  iptables прямо написано что  употреблять DROP крайне нежелательно , при очистке цепочек  лучше  использовать  ппараметр  -t. Так что я на себе испытал что лучше потраить время и почитать man, чем необдуманно доверять сомнительным советам

bormant ответил всё верно.
Ну ну. Я подпишусь на тему.

Угу когда ещё нервишки шалят и руки чешутся

Скажем так, где-то имеет место ошибка, ибо при указанной маске это 1 сеть 10.44/16 и 4 хоста в ней 1.1, 2.1, 3.1, 4.1. Четыре сети, это, например, 10.44.1/24, 10.44.2/24, 10.44.3/24, 10.44.4/24.
Но пока оставим это.

Теперь хотелось бы узнать, с чем собственно имеем дело.
Это шлюз, у которого одна сетевая карта смотрит наружу, а другая (или 4 других) в 10.44/16?

В иллюстративных целях создадим алиас eth0:1 с адресом 10.44.0.1/16 и воспользуемся командой

# ifconfig eth0:1 10.44.0.1 netmask 255.255.0.0
# ifconfig eth0:1
eth0:1: flags=4163<UP,BROADCAST,RUNNING,MULTICAST>  mtu 1500
        inet 10.44.0.1  netmask 255.255.0.0  broadcast 10.44.255.255
# iptables -A FORWARD -i eth0:1 -d 10.44.0.0/16 -j ACCEPT
# iptables -S FORWARD
-P FORWARD DROP
-A FORWARD -d 10.44.0.0/16 -i eth0 -j ACCEPT

Или даже без алиаса:

# iptables -A FORWARD -i eth0 -d 10.44.0.0/16 -j ACCEPT
# iptables -S FORWARD
-P FORWARD DROP
-A FORWARD -d 10.44.0.0/16 -i eth0 -j ACCEPT

Теперь позвольте поинтересоваться, что вы хотели сказать своей вышеприведённой цитатой?

Вот вот FORWARD был жестко опушен из комнадной строки с помощью  $iptables -P FORWARD DROP  а предлагалось  подять FORWARD  с помощью (исходя из синтаксиса)  изменения строки скрипта конфига -A.....
Так вот , сколько бы вы ни бились лбом об стену, но обратно поднять FOPWARD можно тоже лишь с помощью командной строки $iptables  -P. FORWARD .ACCEPT 

Пусть Ёжик в тумане так и остнется от него только одни убытки :  его совет на 20 мин остановил  сеть в 700 компов За такое в прилитчном обществе  канделябром по голове дают ,  а он ещё и огрызается. ..  Вопрос по теме:
arp выдаёт постоянно  какой-то левый ip  10.1.1.128  ,без MAC- адреса и типа маски.  Тогда чтобы его загасить я  присваиваю соему компу этот ip но почему-то конфликта адресов не происходит, arp уже спокойно  показывает ip  с моим MAC и я спокойно работаю в интернете  , Что за фигня
Не нужно переходить на личности. Выяснять отношения нужно культурно. yars.

http://www.chiark.greenend.org.uk/~pete … conclusion

http://lists.altlinux.org/pipermail/com … 71463.html
Действие DROP

Данное действие просто "сбрасывает" пакет и iptables "забывает" о его
существовании. "Сброшенные" пакеты прекращают свое движение полностью,
т.е. они не передаются в другие таблицы, как это происходит в случае с
действием ACCEPT. Следует помнить, что данное действие может иметь
негативные последствия, поскольку может оставлять незакрытые "мертвые"
сокеты как на стороне сервера, так и на стороне клиента, наилучшим
способом защиты будет использование действия REJECT особенно при защите
от сканирования портов."