Помогите вспомнить iopchains! :)

Всем привет!

Данные правила используюся для подсчёта клиентского трафика,
адреса используются реальные. Но вот на этой машине появляется VPN
сервер, используется для pppd proxyarp опция, то есть, первый адрес
подсетки выдаваемых адресов, прописан на сетевухе, смотрящей в локалку.

Проблема: стоит только выставить на клиентской цепочке -i ppp+
машина теряет доступ в инет. Что не так делаю?


-A input -s 0.0.0.0/0.0.0.0 -d 0.0.0.0/0.0.0.0 -i eth0 -j ACCEPT
#
-A forward -s 555.555.555.0/255.255.255.0 -d ! 555.555.555.0/255.255.255.0 -i eth0 -j local-inet
-A forward -s 555.555.555.0/255.255.255.0 -d ! 555.555.555.0/255.255.255.0 -i ppp+ -j local-inet
-A forward -s ! 555.555.555.0/255.255.255.0 -d 555.555.555.0/255.255.255.0 -i ! eth0 -j inet-local
-A forward -s ! 555.555.555.0/255.255.255.0 -d 555.555.555.0/255.255.255.0 -i ! ppp+ -j inet-local
#
-A output -s 0.0.0.0/0.0.0.0 -d 0.0.0.0/0.0.0.0 -i eth0 -j ACCEPT
#
-A local-inet -s 0.0.0.0/0.0.0.0 -d 0.0.0.0/0.0.0.0 -j ACCEPT -f
-A local-inet -s 555.555.555.2/255.255.255.255 -d 0.0.0.0/0.0.0.0 -j ACCEPT
-A local-inet -s 555.555.555.9/255.255.255.255 -d 0.0.0.0/0.0.0.0 -j ACCEPT
-A local-inet -s 555.555.555.10/255.255.255.255 -d 0.0.0.0/0.0.0.0 -j ACCEPT
-A local-inet -s 555.555.555.150/255.255.255.255 -d 0.0.0.0/0.0.0.0 -i ppp+ -j ACCEPT
-A local-inet -s 0.0.0.0/0.0.0.0 -d 0.0.0.0/0.0.0.0 -j DENY
#
-A inet-local -s 0.0.0.0/0.0.0.0 -d 0.0.0.0/0.0.0.0 -j ACCEPT -f
-A inet-local -s 0.0.0.0/0.0.0.0 -d 555.555.555.2/255.255.255.255 -j ACCEPT
-A inet-local -s 0.0.0.0/0.0.0.0 -d 555.555.555.9/255.255.255.255 -j ACCEPT
-A inet-local -s 0.0.0.0/0.0.0.0 -d 555.555.555.10/255.255.255.255 -j ACCEPT
-A inet-local -s 0.0.0.0/0.0.0.0 -d 555.555.555.150/255.255.255.255 -i ppp+ -j ACCEPT
-A inet-local -s 0.0.0.0/0.0.0.0 -d 0.0.0.0/0.0.0.0 -j DENY

На iptables прошу не предлагать перейти! В силу некоторых причин, пока
такое не представляется возможным :(

Спасибо.