Полиция в iptables. Как сделать?

Привет!
В старом, родном ipchains все делалось просто:
/sbin/ipchains -P forward DENY
/sbin/ipchains -A forward -s 172.16.1.1 -j MASQ
И разрешено только последнее правило.

А как это сделать в iptables?
Пробовал:
/sbin/iptables -t nat -P POSTROUTING DROP
/sbin/iptables -t nat -A POSTROUTING -s 172.16.1.1 -o eth1 -j SNAT --to-source 213.248.17.43
Или
/sbin/iptables -P FORWARD DROP
/sbin/iptables -t nat -A POSTROUTING -s 172.16.1.1 -o eth1 -j SNAT --to-source 213.248.17.43

Ни первый, ни второй случай не работают...
А собственно как сделать сабж с маскарадингом?