最近Linux 2.4から2.6に移行させる作業をやってます （っていうか、正確にはやらせてます）。 FreeS/WANからの移行が大変で、 細かな変更がたくさん必要になってます。
The official IPsec Howto for Linux にはfilteringのことはさっぱり書かれていませんが、 IPSec and iptables (long) によると、 INPUTとFORWARDにそれぞれ暗号化されたパケットと復号化されたパケットが適用されるようです。 ただし、そのままだとFORWARDには、復号化されてやって来たのか、 IPSecと無関係にやって来たのか、判別が付きません。 だから、INPUTでパケットをmarkしておいて、 FORWARDでmarkの有無を利用する、 というのが正しい解決策です。
Shorewall にはmarkしておいて、どうのこうのする、 みたいな方法が用意されていないので、 現在はShorewallをどう拡張するか、考え中です。
フランス人は、バカンスが終ると次のバカンスをすぐ話題にし始める、 といいます。 これが真実だと昨日思い知らされました。 同僚に「予定あるの？」って訊いたら、 「八月の初めの二週間」と答えました。 あれっと思って、 「いつの間に決まってんの？ もう許可を貰ったの？」 って訊いたら、
二ヶ月前に話をつけてある
だと。恐れ入りましたよ。 半年も先のバカンスがきっちり予定されているなんて（できるなんて）、 フランス人、恐るべし。
さて、自分もそろそろ予定をはっきりさせねば。 さもなければ、人気のあるところは予約済みばかりで、 空きが無くなっちゃいますからね。