доброго времени люди
есть комп (далее шлюз) c 2 сетевыми -серверная убунта 12.04 
eth1 - 10.92.31.107
eth0 - 192.168.0.2
установлен squid  (с авторизацией на родительском проксе)
и dnsmasq
sysctl net.ipv4.ip_forward=1

нужно 
чтобы абсолютно ВСЕ программы из локальной сети лезли в интернет (то есть nat)
чтобы пользователи из локалки ходили в интернет через сквид (3128)

снаружи нужно все перекрыть кроме:
пинга 
чтобы можно было удаленно попадать на шлюз (через ssh-22) только с 10.92.22.22 
удаленно попадать на терминальник в локальной сети (через rdp-3128) с 10.92.22.22 на 192.168.0.1 в локальной сети 

прошу вас проверить правильность и корректность правил (понабрал кусочками с интернетов)

сначала запрещаем все вообще(?)
iptables -P INPUT DROP
iptables -P OUTPUT DROP
iptables -P FORWARD DROP

затем разрешаем внутренний интерфейс (нужно вообще это делать?)
iptables -A INPUT -i lo -j ACCEPT 
iptables -A OUTPUT -o lo -j ACCEPT

#разрешить весь трафик из локалки на шлюз (сюда и пинг и сквид и джаббер который будет установлен попадают)
iptables -A INPUT -p ALL 192.168.0.0/24 -j ACCEPT 

??
iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT 
iptables -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT 
iptables -A OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

проброс rdp
iptables -t nat -A PREROUTING -p tcp -d 10.92.22.22 --dport 3128 -j DNAT --to-destination 192.168.0.1:3128
iptables -t nat -A POSTROUTING -p tcp --dst 192.168.0.1 --dport 3128 -j SNAT --to-source 10.92.22.22 

открыть ssh
iptables -A INPUT -m multiport --dports 22 -s 10.92.22.22 -j ACCEPT

и nat включить
IPTABLES -t nat -A POSTROUTING -o eth1 -j MASQUERADE

чувствую что куча косяков в моем "творчестве"