IPTABLES - составление правил [SOLVED]

Добрый день!
Прошу помочь форумчан с настройкой фаервола. После прочтения http://www.frozentux.net/documents/iptables-tutorial/ и всего что есть на ru.gentoo-wiki.com в голове полная каша.
Постановка задачи:
Есть роутер на Gentoo
в нем 3 сетевухи:
WAN: eth0 192.168.5.210
LAN3: eth1 192.168.3.254
LAN2: eth2 192.168.2.254
Задачи
есть прокси сервер 192.168.5.1:3128
можно ли для LAN2 192.168.2.0/24 перенаправлять все запросы по HTTP (порты 80, 8080, 3128) на проксик 192.168.5.1:3128
все остальные порты NAT'ить
далее в LAN3 есть несколько локальных серверов 192.168.3.252, *.251,*.253 - хочется что бы пользователи LAN2 ходили на них без проблем
Все компьютеры LAN2 не должны быть видны из WAN и LAN3(кроме 192.168.3.251)
для LAN3
Есть свой прокси крутится на 192.168.3.254, там же крутится DHCP+DDNS, Samba+OpenLDAP, NTP - нужно по максимуму защитить роутер от пользователей сети LAN3 без потери вышеперечисленного функционала

И еще я так и не понял какие политики ставить по умолчанию для INPUT, OUTPUT и FORWARD?

В мануале по IPTABLES так же сделаны дополнительные проверки через цепочку bad_tcp_packets и тд - я так понимаю мне тоже необходимо их ввести?
В общем кое что вроде понимаю но если кто в состоянии помочь и объяснить буду очень благодарен...

РЕШЕНО

Постановка задачи:
Есть роутер на Gentoo
в нем 3 сетевухи:
WAN: eth0 192.168.5.210
LAN3: eth1 192.168.3.254
LAN2: eth2 192.168.2.254
2 подсети LAN3 192.168.3.0/24 и LAN2 192.168.2.0/24
Задачи
Пускать всех из LAN2 в Интернет - NAT'ом через WAN
Пускать некоторые хосты из LAN3 в Интернет - NAT'ом через WAN
Пускать из LAN2 на некоторые серваки в LAN3
Не пускать никого из LAN3 в LAN2
Не пускать никого ниоткуда на роутер кроме разрешенных портов.
Проверять валидность пакетов если что не так не обрабатывать.

Решение скрипт firewall.sh:
-------------------------
#!/bin/bash

IPT='/sbin/iptables'
LAN2=eth2
LAN2_IP=192.168.2.254
LAN2_NET=192.168.2.0/24
LAN3=eth1
LAN3_IP=192.168.3.254
LAN3_NET=192.168.3.0/24
WAN=eth0
WAN_IP=192.168.5.210
WAN_NET=192.168.5.0/24
ALLOWED23_SERVERS='192.168.3.250 192.168.3.251 192.168.3.252 192.168.3.254'
ALLOWED_LAN3_HOSTS='192.168.3.250 192.168.3.251 192.168.3.202 192.168.3.241'
$IPT -F
$IPT -t nat -F
$IPT -t mangle -F
$IPT -X
$IPT -t nat -X
$IPT -t mangle -X
$IPT -F FORWARD

echo 1 > /proc/sys/net/ipv4/ip_forward
for f in /proc/sys/net/ipv4/conf/*/rp_filter ; do echo 1 > $f ; done

# Создаем цепочку проверки правильности пакетов
$IPT -N bad_tcp_packets
$IPT -A bad_tcp_packets -p tcp --tcp-flags SYN,ACK SYN,ACK -m state --state NEW -j REJECT --reject-with tcp-reset
$IPT -A bad_tcp_packets -p tcp ! --syn -m state --state NEW -j LOG --log-prefix "New not syn:"
$IPT -A bad_tcp_packets -p tcp ! --syn -m state --state NEW -j DROP

# Для работы внутренних приложений разрешаем все пакеты на локальной петле
$IPT -A INPUT -p tcp -j bad_tcp_packets # Проверить плохие пакеты
$IPT -A INPUT -i lo -s 127.0.0.1 -j ACCEPT
$IPT -A INPUT -i lo -s ${LAN2_NET} -j ACCEPT
$IPT -A INPUT -i lo -s ${LAN3_NET} -j ACCEPT
$IPT -A INPUT -i lo -s ${WAN_NET} -j ACCEPT

# Входящие соединения к роутеру

#$IPT -A INPUT -i $WAN -d 224.0.0.0/8 -j DROP # блокируем широковещательные запросы с по SMB WAN

$IPT -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT # Разрешить уже установленные соединения

$IPT -A INPUT -p tcp --dport http -i ${LAN3} -j ACCEPT # Разрешить ходить на http из LAN3
$IPT -A INPUT -p tcp --dport ssh -i ${LAN3} -j ACCEPT # Разрешить ходить на ssh из LAN3
$IPT -A INPUT -p tcp --dport rsync -i ${LAN3} -j ACCEPT # Разрешить rsync из LAN3

$IPT -A INPUT -p tcp --dport domain -i ${LAN3} -j ACCEPT # Разрешить DNS Lookup для LAN3
$IPT -A INPUT -p udp --dport domain -i ${LAN3} -j ACCEPT
$IPT -A INPUT -p udp --dport bootps:bootpc -i ${LAN2} -j ACCEPT # Разрешить DHCP для LAN2
$IPT -A INPUT -p udp --dport bootps:bootpc -i ${LAN3} -j ACCEPT # Разрешить DHCP для LAN3

$IPT -A INPUT -p udp --dport ntp -i ${LAN2} -j ACCEPT # Разрешить NTP для LAN2
$IPT -A INPUT -p udp --dport ntp -i ${LAN3} -j ACCEPT # Разрешить NTP для LAN3

$IPT -A INPUT -p icmp --icmp-type 8 -j ACCEPT # Разрешить пинговать роутер
$IPT -A INPUT -p icmp --icmp-type 11 -j ACCEPT # Разрешить трасить роутер
$IPT -P INPUT DROP # все остальные в сад!

# Форвард соединения
$IPT -A FORWARD -p tcp -j bad_tcp_packets # Проверить плохие пакеты
$IPT -A FORWARD -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT # Разрешить уже установленные соединения
for i in ${ALLOWED23_SERVERS}; do
$IPT -A FORWARD -m conntrack --ctstate NEW -i ${LAN2} -s ${LAN2_NET} -o ${LAN3} -d $i -j ACCEPT
done
$IPT -A FORWARD -i ${LAN2} -o ${LAN3} -j DROP # запрещаем-с 2 -> 3, кроме исключений выше
$IPT -A FORWARD -m conntrack --ctstate NEW -i ${LAN2} -s 192.168.2.0/24 -j ACCEPT # Форвардить новые соединения приходящие с интерфейса LAN2 с адресами 192.168.2.0/24
for i in ${ALLOWED_LAN3_HOSTS}; do
$IPT -A FORWARD -m conntrack --ctstate NEW -i ${LAN3} -s $i -j ACCEPT
done

$IPT -P FORWARD DROP # все остальные в сад!

$IPT -t nat -F POSTROUTING # очистим POSTROUTING
$IPT -t nat -A POSTROUTING -o ${WAN} -j SNAT --to-source ${WAN_IP} # все что идет на eth0 подменять на 192.168.5.210
$IPT -t nat -A POSTROUTING -d 192.168.3.252 -o ${LAN3} -j SNAT --to-source ${LAN3_IP} # ходить с LAN2 на 192.168.3.252

$IPT -A OUTPUT -p tcp -j bad_tcp_packets # Проверить плохие пакеты
$IPT -P OUTPUT ACCEPT