linux user group brescia

Ho una rete cosi' configurata:

1 route zyxel prestige 100 (192.168.0.199) per la connessione ISDN
1 macchina linux (192.168.0.198) che fa da mail-server (RH 6.1, kernel 
2.2.12-20 ricompilato da me )
circa 40 client win in rete su protocollo TCP/IP, con indirizzo
192.168.0.x netmask 255.255.255.0 e che usano come gateway 192.168.0.199
(il router isdn)

Ora voglio trasformare la macchina linux in firewall e per prima cosa
voglio spostare il router "dietro" (o "davanti"?) alla macchina linux.


PRIMO ESPERIMENTO
cambio il gateway delle macchine win in 192.168.0.198 (ovvero macchina
linux) e 
sulla macchina linux metto la seguente routing table

Destination     Gateway         Genmask         Flags Metric Ref    Use
Iface
192.168.0.198   0.0.0.0         255.255.255.255 UH    0      0        0
eth0
192.168.0.0     0.0.0.0         255.255.255.0   U     0      0        0
eth0
127.0.0.0       0.0.0.0         255.0.0.0       U     0      0        0
lo
0.0.0.0         192.168.0.199   0.0.0.0         UG    0      0        0
eth0
 
Tutto funziona a dovere.


SECONDO ESPERIMENTO 

Adesso agggiungo una scheda ethernet sulla macchina linux e la
configuro.
Al router ISDN  cambio indirizzo in 10.200.2.1 netmask 255.255.0.0
Poi attacco il router direttamente a eth1.


[root a mail /root]# ifconfig
eth0      Link encap:Ethernet  HWaddr 00:90:27:27:5E:F6
          inet addr:192.168.0.198  Bcast:192.168.0.255 
Mask:255.255.255.0
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:5692 errors:0 dropped:0 overruns:0 frame:0
          TX packets:3790 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:100
          Interrupt:11 Base address:0xf800

eth1      Link encap:Ethernet  HWaddr 00:20:AF:27:90:21
          inet addr:10.200.2.2  Bcast:10.200.255.255  Mask:255.255.0.0
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:1933 errors:0 dropped:0 overruns:0 frame:0
          TX packets:2238 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:100
          Interrupt:5 Base address:0x200

lo        Link encap:Local Loopback
          inet addr:127.0.0.1  Mask:255.0.0.0
          UP LOOPBACK RUNNING  MTU:3924  Metric:1
          RX packets:965 errors:0 dropped:0 overruns:0 frame:0
          TX packets:965 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:0

[root a mail /root]# route -n
Destination     Gateway         Genmask         Flags Metric Ref    Use
Iface
192.168.0.198   0.0.0.0         255.255.255.255 UH    0      0        0
eth0
10.200.2.2      0.0.0.0         255.255.255.255 UH    0      0        0
eth1
192.168.0.0     0.0.0.0         255.255.255.0   U     0      0        0
eth0
10.200.0.0      0.0.0.0         255.255.0.0     U     0      0        0
eth1
127.0.0.0       0.0.0.0         255.0.0.0       U     0      0        0
lo
0.0.0.0         10.200.2.1      0.0.0.0         UG    0      0        0
eth1
 
[root a mail /root]# cat /proc/sys/net/ipv4/ip_forward
1

[root a mail /root]# cat /proc/sys/net/ipv4/conf/all/rp_filter
0

[root a mail /root]# ipchains -L
Chain input (policy ACCEPT):
Chain forward (policy ACCEPT):
Chain output (policy
ACCEPT):                                                                                

Con questa configurazione i client win non riescono piu' ad uscire dalla
rete locale.
In particolare 

1) la macchina linux vede tutta la rete interna ed internet

2) da una macchina win riesco a fare il ping alla macchina linux sia
come 
192.168.0.198 che come 10.200.2.2

3) da una macchina win NON riesco a fare il ping di 10.200.2.1 (il
router) ne'
a qualsiasi altro indirizzo che non sia la rete interna

Cosa sto sbagliando?