Routing con iptables

[iox84]

Salve a tutti.
Dopo aver letto manuali, post sul forum e articoli di ogni genere mi rivolgo a voi.
Sto tentando di realizzare un firewall con una Debian Sarge, la situazione è la seguente:
eth0 ha ip 192.168.1.201 e punta (gateway) ad un router adsl con indirizzo 192.168.1.200
eth1 è su un'altra rete e ha ip 192.168.0.202 (ho un pò di casino con gli IP)
Ho aggiunto a iptables la seguente regola:

iptables -t nat - A PREROUTING -p tcp --dport 80 -i eth1 -j DNAT --to 192.168.1.200

Come avrete già capito non sono molto esperto e non riesco a capire perchè i client della rete (con ip 192.168.0.x e sto provando con Win 2000 ) riescono a pingare un dominio internet ma non vi accedono via browser.
Premetto che ho caricato il modulo e attivato ip_forward.
Grazie

[iox84]

Riesumo la discussione.
Ho risolto in parte il problema aggiungendo le seguenti regole nella catena di nat:

iptables -t nat -A POSTROUTING -s 192.168.0.0/24 -o eth0 -j MASQUERADE
iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -o eth1

Così riesco ad utilizzare il gateway software, il problema è che se metto la policy della catena di FORWARD in DROP e apro la porta 80 con le seguenti regole non va una cippa:

iptables -P FORWARD DROP
iptables -A FORWARD -p tcp --dport 80 -j ACCEPT

Ho provato (per curiosità) a lasciare la policy della catena FORWARD in ACCEPT e chiudere la porta 80 con la regola

iptables -A FORWARD -p tcp --dport 80 -j DROP

e giustamente non mi fa uscire.
Avete idea di dove sbaglio?

[iox84]

Risolto, evidentemente è meglio se apro anche le porte per i server dns, così magari mi vede gli inidirizzi. Per chi come me è un niubbo:

iptables -A FORWARD -p tcp --dport domain -j ACCEPT
iptables -A FORWARD -p udp --dport domain -j ACCEPT

Magari a fine lavoro scrivo un how-to

[Nyx]

Originariamente inviato da iox84
Magari a fine lavoro scrivo un how-to

Bene così magari pure io ci posso mettere le manucce
Già una volta ci ho provato ma facevo confusione con gli ip :master: