По поводу service iptables stop - это даже не feature, а достаточно неприятный баг. По логике, после servicve iptables stop доступ хостам, пользующим NAT должен быть перекрыт. А в результате, он не только не перекрывается, но еще и разрешается всем (в том случае, когда в NAT-таблице есть одно/два общих правил трансляции, а доступ ограничивается через filter-таблицу FORWARD). Т.е. кто отмаршрутизируется через данный хост - свободно уйдет в Cеть, потому как после stop все правила сбрасываются в default state  (ACCEPT) - а это уже проблемы с security.

По поводу service iptables stop - это даже не feature, а достаточно неприятный баг. По логике, после servicve iptables stop доступ хостам, пользующим NAT должен быть перекрыт. А в результате, он не только не перекрывается, но еще и разрешается всем (в том случае, когда в NAT-таблице есть одно/два общих правил трансляции, а доступ ограничивается через filter-таблицу FORWARD). Т.е. кто отмаршрутизируется через данный хост - свободно уйдет в Cеть, потому как после stop все правила сбрасываются в default state  (ACCEPT) - а это уже проблемы с security.

Fixed in new iptables

Fixed in new iptables