problem z forwardem

[Przemysław Backiel]

Witam, mam taki problem

maszyna 192.168.1.2 robi za gatewaya oraz ma odpalony rp-pppoe-server
chce ograniczyc mozliwosc klientow autoryzowany via pppoe do kontaktów z 
innymi (Takze z innymi pppoe)
dla pppoe adres są takie:
192.168.134.0/23
dla klientów dhcp
192.168.0.0/23

zrobiłem tak (dla testów)
by maszyna 192.168.135.15 nie miała dostępu do innych maszyn, ale miała 
dostęp do 192.168.1.1 oraz 192.168.1.3

192.168.1.3 ma default gatewaya 192.168.1.2 (czyli maszyne na której 
stoi pppoe)
192.168.1.1 to maszyna która ma inny gateway

forward zrobiłem tak

iptables -A FORWARD -i eth1 -s 192.168.1.1 -d 192.168.135.15 -j ACCEPT
iptables -A FORWARD -i eth1 -s 192.168.1.3 -d 192.168.135.15 -j ACCEPT
iptables -A FORWARD -i ppp+ -d 192.168.1.1 -s 192.168.135.15 -j ACCEPT
iptables -A FORWARD -i ppp+ -d 192.168.1.3 -s 192.168.135.15 -j ACCEPT
iptables -A FORWARD -i eth1 -s 192.168.0.0/255.255.254.0 -d 
192.168.135.15 -j DROP
iptables -A FORWARD -i ppp+ -s 192.168.134.0/255.255.254.0 -d 
192.168.135.15 -j DROP
iptables -A FORWARD -i eth1 -s 192.168.0.0/255.255.254.0 -j ACCEPT
iptables -A FORWARD -i ppp+ -s 192.168.0.0/255.255.254.0 -j ACCEPT
iptables -A FORWARD -i ppp+ -s 192.168.134.0/255.255.254.0 -j ACCEPT

efekt
z 192.168.135.15 mam dostep do 192.168.1.3 ale do 192.168.1.1 nie mam

route -n wygląda tak

192.168.135.15   0.0.0.0         255.255.255.255 UH    0      0        0 
ppp0
siecWAN    0.0.0.0         255.255.255.248 U     0      0        0 eth0
10.12.25.0      0.0.0.0         255.255.255.0   U     0      0        0 eth2
192.168.0.0     0.0.0.0         255.255.254.0   U     0      0        0 eth1
0.0.0.0         domyslnabrama   0.0.0.0         UG    0      0        0 eth0

pytanie
jak zrobic bym z 192.168.135.15 (pppoe) mial dostep do 192.168.1.1

smieszne jest, ze gdy dodalem na 192.168.1.1 route do 192.168.135.15 
przez 192.168.1.2 to mogłem go pingnąc, ale z 192.168.135.15 nie mogłem
(na 192.168.1.1) nie ma firewalla w tej chwili.

co jest nie tak
dzien walk i nie wiem gdzie jest błąd :(


-- 
Z powazaniem
Przemyslaw Backiel