В том-то все и дело. При такой конфигурации у Enzo_brn пинги не ходят, наперекор теории. Меняем ему правила:

1. Почистить таблицы.
2. Закрыть все цепочки.
3. Разрешить лупбэк трафик.
4. разрешить транзит ИЦМП-пакетов между внутр. и внешней сетью.
5. Разрешить на всех цепочках соединения, уже инициированные и новые

urfin, ваш крайний пример скрипта пустит в инэт всю локальную сеть, а мне нужны только пинги, инэт ч/з сквид.
было достаточно только поставить NEW для цепочки FORWARD в п. 4. Непонятно только, почему то-же самое првило, только более узкое из п. 5 не принесло результатов.. $IPT -A FORWARD -p icmp -m state --state NEW -j ACCEPT
эх, вобщем и так ходит вся..(( Как побороть?)

вот и я не пойму как такое возможно, хотя..

нам намекает что при обращении, скажем, к 80 порту соединение проинициализируется изнутри, т.к. правило "$IPT -A FORWARD -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT" пошлет политику: "$IPT -P FORWARD DROP" на все 4 стороны. или мне это только кажется?))

Суть проблемы над которой я ломаю голову как раз таки сводится к тому: Как разрешить пинг не разрешая интернеты и еще 65534 ненужные мне пока порта..

urfin, крайний вариант скрипта:

#!/bin/bash
IPT="/sbin/iptables"
EXT_IF="eth0"
INT_IF="eth1"
#
# 1.
# Enable routing.
echo 1 > /proc/sys/net/ipv4/ip_forward
#
# ------------------ FLASHING RULES IN ALL DEFAULT TABLES ---------------------
# 2.
$IPT -t mangle -F && $IPT -t filter -F && $IPT -t nat -F && $IPT -F && $IPT -X
# -----------------------------------------------------------------------------
#
# 3.
$IPT -P INPUT DROP
$IPT -P OUTPUT DROP
$IPT -P FORWARD DROP


# 4.
$IPT -A INPUT -i lo -j ACCEPT
$IPT -A OUTPUT -o lo -j ACCEPT


# 5.
$IPT -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
$IPT -A OUTPUT -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT
$IPT -A FORWARD -p icmp -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT


# 6.
# Masquerade.
$IPT -t nat -A POSTROUTING -o $EXT_IF -j MASQUERADE

в таком варианте ни пинга, ни инэта в локалке нет. Убираем в п.[5], строка [3] -p icmp и инэт и пинги у всей ЛС

Или так:

Дано:
host1
# /etc/rc.d/rc.inet1 stop
# ifconfig eth0 192.168.8.10 up
# route add default gw 192.168.8.254

host2
# /etc/rc.d/rc.inet1 stop
# ifconfig eth0 192.168.9.10 up
# route add default gw 192.168.9.254

1) Обычная маршрутизация пакетов из сети в сеть
gw
# /etc/rc.d/rc.inet1 stop
# ifconfig eth0 192.168.8.254 up
# ifconfig eth1 192.168.9.254 up
# echo "1" > /proc/sys/net/ipv4/ip_forward
# iptables -P INPUT DROP
# iptables -P OUTPUT DROP

Делаем на host2
# tcpdump
и наблюдаем...

На  host1
# ping -c1 192.168.9.10
64 bytes from 192.168.9.10: icmp_req=1 ttl=63 time=1.55
...
на host2 наблюдаем
ICMP echo request 192.168.8.10 > 192.168.9.10
ICMP echo reply 192.168.9.10 > 192.168.8.10

2) Трансляция сетевого адреса источника (SNAT)
Делаем:
на gw
# iptables -t nat -A POSTROUTING -s 192.168.8.0/24 -o eth1 -j SNAT --to-source 192.168.9.254

на host1
# ping -c1 192.168.9.10
64 bytes from 192.168.9.10: icmp_req=1 ttl=63 time=1.55
...
на host2 наблюдаем
ICMP echo request 192.168.9.254 > 192.168.9.10
ICMP echo reply 192.168.9.10 > 192.168.9.254

Вопросы, замечания, комментарии?

Нет пингов, нет интернета, отвалился ssh (перезапускал скрипт терминально)

с откл. - вообще как в танке и как сейчас, нет инэтов, пингов, все недоступно. даже ip самого шлюза в ЛС
(зы: дико извиняюсь, сегодня я ушел.)

Как оставить через nat только один icmp, чтобы пинги ходили, а все остальное запретить?

ТС Возьмите трафик профильтруйте на шлюзе через tcpdump и увидите где затык.

urfin,
список документацией не предусмотрен и командой отвергается. Вообще говоря, видел запрет на ping с разрешением прочего icmp, но вот наоборот не приходилось. Поэтому или весь icmp оставить, или запретить только ping:
# iptables -A FORWARD -p icmp ! --icmp-type echo-request -j ACCEPT
при политике FORWARD DROP, или сначала вдумчиво прочитать документацию по icmp (RFC 792, 950, 4884, 6633), а потом уже решать про нужность/ненужность остального.

Примерные причины, по которым хотелось бы запрещать icmp: http://www.sans.org/security-resources/ … misuse.php

и решит что его вряд-ли за ДДоСят и ему можно не указывать кучу типов а просто -p icmp --icmp-type any чем он всем не угодил, пусть будет весь для невебсервера такое не критично, если особенно учесть что доступ снаружи будет только у 2х белых ip. до чтения RFC не дорос я еще.. Спасибо всем за детальные пояснения, коменты и примеры. Надеюсь в скором все это разляжется по полочкам мога, сформировав 1 целостную картину управления этой воистину гибкой системы iptables  

urfin, остановился на ковырянии каждой подозрительной мелочи, в частности: в чем отличае
$IPT -A FORWARD -p icmp -j ACCEPT от $IPT -A FORWARD -p icmp --icmp-type any -j ACCEPT ?