iptables nat: wie absichern ?

[le bart]

gut, nach ein bischen lektüre bin ich der meinung das müsste so gemacht werden:

1. nat erlauben nur für packete von dev tun
-> im *filter forward alles auf drop ausser pakete von tun
2. nat masquerade oder snat
-> im *nat alles accept snat auf eth0

wieder dasselbe problem: snat tut nur, wenn *filter-forward auf alles accept gestellt ist, mit default-drop aber alles von tun/vpn/vpn-ip/gateway funkt es nicht;
das nat is sogar dann down wenn ich im *filter forward die regel reintu dass er alles was nicth von eth0 akzeptieren soll.
also irgendwie is er der meinung die vpn anfragen kommen von eth0 oder wie?