Debian, ядро 2.4.18, firewall iptables.
Клиенты заходят в сеть по vpn-соединению, получают ip от pptp.

Пакеты ходят от них и к ним в интернет благодаря этому правилу (на каждый ip отдельное правило):
iptables -t nat -A POSTROUTING -s 192.168.2.10 ! -d 192.168.2.0/24 -j MASQUERADE
Трафик считается благодаря этим двум:
iptables -A FORWARD -s 192.168.2.10 -j ACCEPT
iptables -A FORWARD -d 192.168.2.10 -j ACCEPT

Клиент законнектился по vpn, получил ip, хосты в нете пингуются, сайты открываются, по аське разговаривают. Далее я удаляю правило маскарадинга, клиент после этого не может пинговать сайты, лазить по ним, но продолжает успешно разговаривать по аське с людьми в нете. Если аськой расконнектиться, то соединиться обратно не получится.

Не понятно, как аська продолжает работать, если я удалил правило маскарадинга пакетов для данного клиента?

Заранее благодарен!

• Непонятный случай с маскарадингом,eNemo, 08:50 , 10-Фев-04

>Не понятно, как аська продолжает работать, если я удалил правило маскарадинга пакетов
>для данного клиента?

Всё правильно. в таблицу nat попадает только первый пакет из соединения, а ко всем остальным пакетам просто применяется то же самое действие, которое было написано в правиле.
погляди в /proc/net/ip_conntrack - там это соединение будет видно.