Классика жанра ;P

конечно криво

самое кривое - это удаление и прописывание шлюза по умолчанию :) зачем это надо ? если можно в net.eth0 прописать...

и еще. Зачем нужна цепочка, если она используется всего один раз ? это все равно что разбивать программу на процедуры совершенно без необходимости.

я так понимаю, задумка с двумя правилами в форварде - чтобы пакеты соединения в обе стороны бегали ? для этого есть state.

вот мой iptables-conf на одном из серваков
его легко переносить куда угодно, т.к. в нем даже ip-адреса нигде не фигурируют.
в целом можно легко понять как и что используется.

I=/sbin/iptables

in_i=eth1
in_o=eth0

$I -P INPUT DROP
$I -P OUTPUT ACCEPT
$I -P FORWARD DROP
$I -F
$I -X
$I -t nat -F
$I -t nat -X
$I -t mangle -F
$I -t mangle -X

$I -A INPUT   -m state --state ESTABLISHED,RELATED -j ACCEPT
$I -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT
$I -A INPUT -i lo -j ACCEPT

$I -A INPUT -p icmp -j ACCEPT
$I -A INPUT -p tcp --syn --dport 22 -j ACCEPT
$I -A INPUT -p tcp --syn --dport 25 -j ACCEPT

$I -A INPUT -i $in_i -p tcp --syn --dport 80 -j ACCEPT
$I -A INPUT -i $in_i -p tcp --syn --dport 3128 -j ACCEPT
$I -A INPUT -i $in_i -p udp --dport 53 -j ACCEPT

$I -A FORWARD -i $in_i -j ACCEPT

$I -t nat -A PREROUTING -i $in_i -p tcp --dport 80 -j REDIRECT --to-port 3128
$I -t nat -A POSTROUTING -o $in_o -j MASQUERADE

/etc/init.d/iptables save

в общем случае - правила для пакетов уже установленных соединений:
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT

строка с OUTPUT в моем конфиге не нужна, т.к. политика для OUTPUT = accept.

ставишь правила на первые места после сброса, и после этого любое соединение разрешается одним правилом без траходрома. Кстати, в iptables-tutorial в примерах всё это описано, несмотря на то, что в остальном примеры там фиговые.

последний совет общего плана: при раздаче прав на какие-то ресурсы отдельным ипам или подсетям желательно проверять интерфейс, откуда пришел пакет.