Netfilter + NAT (Входящий трафик - как?)

Создай цепочку (например 'traffic')
в ней напиши что нить вроде:
iptables -A traffic -d host1
iptables -A traffic -d host2
iptables -A traffic -d host3
iptables -A traffic -d host4
iptables -A traffic -d host5
iptables -A traffic -d host6

вставь ссылку на эту цепочку в _начало_ FORWARD:
iptables -A FORWARD -o ether_interface -s net_address -d net_address -j traffic

и все. сначала приходящие байты будут попадать в цепочку TRAFFIC, а там проходить по счетчикам конкретного хоста, и возвращаясь в FORWARD пойдут уже конкретному хосту или все сети.

А если после "iptables -A traffic -d hostN" писать "-j RETURN" будет работать немного быстрее ;-)

Хм... Это я уже знаю :))) Разве пакеты приходящие из внешней сетки, проходят filter->forward ?? Я так понимаю что при маскардинге в цепочку фильтер попадают только исходящие пакеты. Поправьте, ясли я не прав. И притом... Пакеты приходящие, даже если и попадают в Forward - они ведь как я понимаю направлены на IP сервера производящего маскардинг.

P.S Может кто-нибудь опишет порядок прохождения пакетов при возврате из инета при маскардинге?

http://www.opennet.ru/docs/RUS/iptables/index.html