[Sysadmins] проблема с iptables

[Vladislav Y Gusev]

День добрый!

Не подскажете по iptables?
Не удаётся наладить нормальную работу одной железяки за натом.
Железяке нужен неограниченных доступ к определённому хосту в сети 
Интернет, с которым устройство поднимает защищённого ipsec-соединение.
Обычно в подобных случаях я добавлял правило в таблицу filter/FORWARD вида 
"-i eth1 -o eth0 -s <внутр.адрес железяки> -d <хост в сети Интернет> -j 
ACCEPT"
И это всегда работало. Всё работало поначалу и с этим устройством, а потом 
вдруг начались проблемы: разрывы сессии, невозможность соединиться с 
хостом...
При включении устройства напрямую мимо ната в шлюз провайдера с выделением 
отдельного "белого" ip-адреса устройство работает идеально.
При работе за аппаратным натом (примитивный роутер tp-link) - тоже никаких 
проблем.
А вот через linux-шлюз работать не получается.
Если добавить аналогичное правило только с "-j LOG", то видно, что правило 
срабатывает и пакеты отправляются.
Jul  2 18:17:27 alt-serv kernel: IN=eth1 OUT=eth0 SRC=192.168.153.250 
DST=<host> LEN=33 TOS=0x00 PREC=0xC0 TTL=254 ID=51 PROTO=UDP SPT=4500 
DPT=4500 LEN=13

Не подскажите, в чём может быть загвоздка? Я даже не пойму, в какую 
сторону смотреть.
Особенно сбивает с толку, что устройство нормально проработало за iptables 
почти месяц, а теперь ни в какую...

У меня используется Кентавр:
#uname -srv
Linux 2.6.32-el-smp-alt27 #1 SMP Tue Sep 20 19:35:51 UTC 2011

# rpm -qa | grep ipta
alterator-net-iptables-4.18-alt2
iptables-1.4.10-alt1

-- 
С уважением, 
Гусев Владислав Юрьевич 

----------- следующая часть -----------
Вложение в формате HTML было удалено...
URL: <http://lists.altlinux.org/pipermail/sysadmins/attachments/20130705/edcd01d8/attachment-0001.html>