Saludos...

Hoy me encuentro en la necesidad de cambiar mi actual configuracion para distribuir la internet de mi empresa, les comento lo siguiente:

1) Tengo 3 Tarjetas de RED
* eth0 = Internet IP Fijo (4M
* eth1 = lan : 192.168.1.0/24
* eth2 = Nueva Contratacion Internet Dynamico 4MB

2) Servidor SAMBA,DNS,WEB,MAIL,FTP: 192.168.1.1


Actualmente tengo por mi eth0 un Tunel por medio de OpenVPN a una sucursal
el cual ha funcionado perfectamente desde ya mas de 2 años.. en esta internet la comparto con la Red, pero debido al crecimiento de los equipos conectados a mi red, se ha visto saturado, por lo cual se ha contratado una nueva linea de internet.

La eth1 es la de la Red Lan de mi empresa.

Se contrato una nueva Linea de INternet para usarla para distribuir el
internet a la red la cual esta en eth2

Quiero compartir el Internet de eth2 en mi eth1
Quiero poner un Tunel VPN por medio de OpenVPN con eth0

Mi Script para compartir internet es el Siguiente.
////////////
////////////
////////////

#!/bin/bash

# Un ejemplo de firewall que tenga en cuenta OpenVPN.

# eth0 estáonectado a Internet.
# eth1 estáonectado a la subred privada.

# Cambie esta subred para que se corresponda con su subred
# ethernet privada. Casa usará0.0.1.0/24 y la
# Oficina usará0.0.0.0/24.
hostname dieckr
service iptables stop
PRIVATE=192.168.2.0/24

# Direccion de loopback
LOOP=127.0.0.1

# Borrar reglas iptables antiguas
# y temporalmente bloquear el tráco.
iptables -P OUTPUT DROP
iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -F
iptables -t nat --flush
iptables -t nat --delete-chain

# Establecer las polícas por defecto
iptables -P OUTPUT ACCEPT
iptables -P INPUT DROP
iptables -P FORWARD DROP

# Evitar que los paquetes externos usen la direccióe loopback
iptables -A INPUT -i eth0 -s $LOOP -j DROP
iptables -A FORWARD -i eth0 -s $LOOP -j DROP
iptables -A INPUT -i eth0 -d $LOOP -j DROP
iptables -A FORWARD -i eth0 -d $LOOP -j DROP

# Cualquer cosa que venga de Internet deberítener una direccióe Internet real
#iptables -A FORWARD -i eth0 -s 192.168.0.0/16 -j DROP
#iptables -A FORWARD -i eth0 -s 172.16.0.0/12 -j DROP
#iptables -A FORWARD -i eth0 -s 10.0.0.0/8 -j DROP
#iptables -A INPUT -i eth0 -s 192.168.0.0/16 -j DROP
#iptables -A INPUT -i eth0 -s 172.16.0.0/12 -j DROP
#iptables -A INPUT -i eth0 -s 10.0.0.0/8 -j DROP

# Bloquear paquetes NetBios salientes (si tiene máinas windows en
# la subred privada). Ãto no afecta al tráco NetBios
# que circula por el túVPN, pero detendrá las maquinas
# windows locales de mandar mensajes de broadcast
# a Internet.
iptables -A FORWARD -p tcp --sport 137:139 -o eth0 -j DROP
iptables -A FORWARD -p udp --sport 137:139 -o eth0 -j DROP
iptables -A OUTPUT -p tcp --sport 137:139 -o eth0 -j DROP
iptables -A OUTPUT -p udp --sport 137:139 -o eth0 -j DROP

# Comprobar la validez de la direcciórigen de los paquetes salientes a Internet
iptables -A FORWARD -s ! $PRIVATE -i eth1 -j DROP

# Permitir loopback local
iptables -A INPUT -s $LOOP -j ACCEPT
iptables -A INPUT -d $LOOP -j ACCEPT

# Permitir pings entrantes (pueden desabilitarse)
iptables -A INPUT -p icmp --icmp-type echo-request -j ACCEPT


#------------------------------------------------------------
# Bloqueos
#------------------------------------------------------------
# Red de Audio Galaxy

# Mensajeros
#-----------------------------------------------------------
# MSN Messenger
iptables -A FORWARD -p tcp -s 192.168.2.86 --dport 1863 -j ACCEPT
#ptables -A FORWARD -p tcp -s 192.168.2.87 --dport 1863 -j ACCEPT
iptables -A FORWARD -p tcp -s 192.168.2.90 --dport 1863 -j ACCEPT
iptables -A FORWARD -p tcp -s 192.168.2.99 --dport 1863 -j ACCEPT
iptables -A FORWARD -p tcp -s 192.168.2.56 --dport 1863 -j ACCEPT
#ptables -A FORWARD -p tcp -s 192.168.2.99 --dport 1863 -j ACCEPT
#ptables -A FORWARD -p tcp -s 192.168.2.115 --dport 1863 -j ACCEPT
iptables -A FORWARD -p TCP --dport 1863 -j REJECT
iptables -A FORWARD -p tcp -d 64.4.13.0/24 --dport 80 -j REJECT
iptables -A FORWARD -p tcp -d 207.46.96.0/24 -j REJECT
iptables -A FORWARD -p tcp -d 64.4.15.0/24 -j REJECT
# Bloqueo imo.im
iptables -A FORWARD -p tcp -d 64.13.152.67 --dport 443 -j REJECT
iptables -A FORWARD -p udp -d 64.13.152.67 --dport 443 -j REJECT
iptables -A FORWARD -p tcp -d 64.4.15.61 --dport 443 -j REJECT


#------------------------------------------------------------
# Permitir servicios tales como www y ssh (pueden desabilitarse)
#iptables -A INPUT -p tcp --dport http -j ACCEPT
iptables -A INPUT -p tcp --dport 21 -j ACCEPT
iptables -A INPUT -p tcp --dport 22 -j ACCEPT
iptables -A INPUT -p tcp --dport 25 -j ACCEPT
iptables -A INPUT -p tcp --dport 26 -j ACCEPT
iptables -A INPUT -p tcp --dport 587 -j ACCEPT

iptables -A INPUT -p udp --dport 53 -j ACCEPT
iptables -A INPUT -p tcp --dport 80 -j ACCEPT
iptables -A INPUT -p tcp --dport 110 -j ACCEPT
iptables -A INPUT -p tcp --dport 143 -j ACCEPT
iptables -A INPUT -p tcp --dport 6017 -j ACCEPT
iptables -A INPUT -p udp --dport 5003 -j ACCEPT
iptables -A INPUT -p udp --dport 5004 -j ACCEPT
iptables -A INPUT -p udp --dport 5005 -j ACCEPT
iptables -A INPUT -p tcp --dport 5222 -j ACCEPT
iptables -A INPUT -p tcp --dport 5223 -j ACCEPT

# Permitir paquete del dispositivo TUN/TAP.
# Cuando OpenVPN estájecutando en modo seguro,
# autenticaráos paquetes previos a
# su llegada en el interfaz
# tun o tap. Por lo tanto, no es
# necesario añr ningun filtro aqui,
# a menos que quiera restringir el
# tipo de paquete que puedan circular por
# el tú

iptables -A INPUT -i tun+ -j ACCEPT
iptables -A FORWARD -i tun+ -j ACCEPT

# Permitir paquetes de subredes privadas
iptables -A INPUT -i eth1 -j ACCEPT
iptables -A FORWARD -i eth1 -j ACCEPT

# Mantener el estado de las conexiones locales y las subredes privadas
iptables -A OUTPUT -m state --state NEW -o eth0 -j ACCEPT
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A FORWARD -m state --state NEW -o eth0 -j ACCEPT
iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT

# Enmascarar la subred local eth2
iptables -t nat -A POSTROUTING -s $PRIVATE -o eth0 -j MASQUERADE
iptables -t nat -A PREROUTING -p tcp --dport 26 -j DNAT --to 192.168.2.1:25
iptables -t nat -A PREROUTING -p tcp --dport 587 -j DNAT --to 192.168.2.1:25
#iptables -t nat -A PREROUTING -p tcp --dport 21 -j DNAT --to 172.16.0.1:80
iptables -A FORWARD -i eth1 -j ACCEPT
iptables -t nat -A PREROUTING -i eth1 -p tcp --dport 80 -j REDIRECT --to-port 6588
#Habilita el Kernel para fowrarding
echo 1 > /proc/sys/net/ipv4/ip_forward




////////
////////

Como puedo habilitarlo para que pueda compartir el Inet de eth2 a eth1..

He cambiado la linea siguiente
iptables -t nat -A POSTROUTING -s $PRIVATE -o eth2 -j MASQUERADE

Y Funciona para compartir el INternet, pero me desabilita el tunel VPN, ademas de que no puedo accesar a mis servicios desde internet a mi IP FIJA..

No entendí muy bien tu cuestión pero me parece que lo que quieres hacer deberá ser por medio de balanceo de cargas y no por el firewall, saludos.

---

--------------------o00o-----| º L º |-------o00o-------------------- También en la Selva existen los pingúinos!!