iptables konfiguration

den her tutorial slår alt hvad jeg ellers har set og inkludere adskellige eksempel script der er meget veldokumenteret og kan lige præsis det du nævner så brug det istedet.

http://iptables-tutorial.frozentux.net/

Af ren nysgerrighed, har du saa et diagram over din opsaetning?

Diagram? Øhh nej.. - den er jo meget simpel..
Jeg lavede en ekstra MASQUERADE til det andet netværkskort også og jeg aner ikke om det er sikkert. En nmap udefra fortæller at det virker og det virker også indefra nu. Og så vendte jeg lige om på konfigurationen.

Hvis der er nogen forbedringer eller kommentarer ville de være cool..
Så nu ser den sådan ud:

echo 1 > /proc/sys/net/ipv4/ip_forward
iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
iptables -t nat -A POSTROUTING -o eth1 -j MASQUERADE
iptables -A FORWARD -i eth1 -j ACCEPT
iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -i eth1 -j ACCEPT
iptables -A INPUT -i lo -j ACCEPT
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -i eth0 -p udp --dport 139 -j DROP
iptables -A INPUT -i eth0 -p tcp --dport 139 -j DROP
iptables -A INPUT -i eth0 -p udp --dport 21 -j DROP
iptables -A INPUT -i eth0 -p tcp --dport 21 -j DROP
iptables -A INPUT -i eth0 -p udp --dport 445 -j DROP
iptables -A INPUT -i eth0 -p tcp --dport 445 -j DROP
iptables -A INPUT -i eth0 -p udp --dport 3306 -j DROP
iptables -A INPUT -i eth0 -p tcp --dport 3306 -j DROP
iptables -A INPUT -i eth0 -p udp --dport 4445 -j DROP
iptables -A INPUT -i eth0 -p tcp --dport 4445 -j DROP
iptables -A INPUT -i eth0 -p udp --dport 111 -j DROP
iptables -A INPUT -i eth0 -p tcp --dport 111 -j DROP
iptables -A INPUT -i eth0 -p udp --dport 1720 -j DROP
iptables -A INPUT -i eth0 -p tcp --dport 1720 -j DROP
iptables -A INPUT -i eth0 -p udp --dport 2000 -j DROP
iptables -A INPUT -i eth0 -p tcp --dport 2000 -j DROP
iptables -t nat -A PREROUTING -p tcp -d "ekstern_ip" --dport 443 -j DNAT --to-destination 192.168.1.3
iptables -t nat -A PREROUTING -p tcp -d "ekstern_ip" --dport 43 -j DNAT --to-destination 192.168.1.2
iptables -t nat -A PREROUTING -p tcp -d "ekstern_ip" --dport 9002 -j DNAT --to-destination 192.168.1.2
iptables -t nat -A PREROUTING -p tcp -d "ekstern_ip" --dport 110 -j DNAT --to-destination 192.168.1.2
iptables -t nat -A PREROUTING -p tcp -d "ekstern_ip" --dport 25 -j DNAT --to-destination 192.168.1.2
iptables -t nat -A PREROUTING -p tcp -d "ekstern_ip" --dport 143 -j DNAT --to-destination 192.168.1.2
iptables -t nat -A PREROUTING -p tcp -d "ekstern_ip" --dport 26 -j DNAT --to-destination 192.168.1.3
iptables -t nat -A PREROUTING -p tcp -d "ekstern_ip" --dport 27 -j DNAT --to-destination 192.168.1.2
iptables -t nat -A PREROUTING -p tcp -d "ekstern_ip" --dport 80 -j DNAT --to-destination 192.168.1.2

Hmm, den MASQUERADE gør at man ikke kan logge de ip-adresser som besøger 192.168.1.2 via web eller andet - for der kommer bare til at stå 192.168.1.1 for ALLE besøgende.
Er der et middel mod det?
På forhånd tak!