Как через iptables запретить пакеты в интернет?

Я сделал так:
$ip -A FORWARD -s 10.40.1.250 -o $EXTERNAL -m conntrack --ctstate NEW -j DROP

Остаются доступны ресурсы по http

Денис Сечин, может у Вас прокси прозрачный настроен? Правило стоит выше в цепочке, поэтому обрабатывается первjй. Поэтому я и написал изначально команду -I - вставка в цепочку, и когда она идет без номера, то правило вставляется в самое начало.

Какой смысл проверять состояние пакета, если нужно запретить весь трафик? Надо убрать этот критерий.

Покажите
iptables-save
ip a
ip r s

krosh, Да, точно забыл сквид потушить, спс