liberar vnc não funciona com a politica drop na FORWARD..

fiz as regras abaixo para liberar acesso externo ao vnc dos micros internos...

iptables -A FORWARD -i $INET_IFACE -p tcp --dport 5800:5900 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
iptables -A FORWARD -i $INET_IFACE -p udp --dport 5800:5900 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
iptables -t nat -A PREROUTING -p tcp -i $INET_IFACE --dport 5800:5900 -j DNAT --to 172.17.0.1:5800-5900
iptables -t nat -A PREROUTING -p udp -i $INET_IFACE --dport 5800:5900 -j DNAT --to 172.17.0.1:5800-5900

tenho as políticas
$IPTABLES -P FORWARD DROP
$IPTABLES -P INPUT DROP

o acesso ao vnc não funciona, a não ser que libera a politica..
$IPTABLES -P FORWARD ACCEPT
claro não quero que fique liberado..

então outra regra deve estar bloqueando as regras do vnc..

com que comando descubro que regra ou regras estão bloqueando as regras acima para liberar o vnc(algum tipo de monitoramento ou coisa parecida)...

valeu,
cleiton

bom suas regras devem ficar assim:

iptables -A FORWARD -i $INET_IFACE -p tcp --dport 5800:5900 --syn -j ACCEPT
iptables -A FORWARD -i $INET_IFACE -m state --state RELATED,ESTABLISHED -j ACCEPT

agora esses prerouting aqui não tenho certeza se funciona especificar varias portas em uma única regra:
iptables -t nat -A PREROUTING -p tcp -i $INET_IFACE --dport 5800:5900 -j DNAT --to 172.17.0.1:5800-5900
iptables -t nat -A PREROUTING -p udp -i $INET_IFACE --dport 5800:5900 -j DNAT --to 172.17.0.1:5800-5900