Filtrage VPN compliqué

[greg84]

Bonjour à tous, j'ai un petit souci avec le filtrage sur mon VPN, en fait j'ai un site A et 10 sites B avec le RPV qui fonctionne sans problème depuis plus de un an.
Sur mon site A, j'avais modifié une règle dans rc.firewall qui perméttait aux connexions uniquement initées par le site A de passer vers les sites B.
De ce fait les sites distants ne pouvaient pas accéder au réseau du site A.
voici les règles qui fonctionnent trés bien (uniquement sur IPCOP site A):

sbin/iptables -A INPUT -i ipsec+ -m state --state ESTABLISHED,RELATED -j ACCEPT
sbin/iptables -A FORWARD -i ipsec+ -m state --state ESTABLISHED,RELATEd -j ACCEPT

Aujourd'hui , je veux qu'un utilisateur d'un des sites distant puisse faire du TSE et uniquement du TSE sur le site A, alors j'ai créé la règle suivante

sbin/iptables -A FORWARD -i ipsec+ -s XXX.XXX.XXX.XXX -d XXX.XXX.XXX.XXX -p tcp --dport 3389 -j ACCEPT


Cette règle fonctionne car la personne arrive à se connecter mais lorsque l'on veut se reconneter plus tard, l'utilisateur ne peux plus se connecter, et j'ai des paquets ESP qui sont bloquer par le firewall.
Si je relance le VPN, elle peut se reconnecter de nouveau.

J'ai lu que IPSEC et Firewalling ne font parfois pas bon ménage, je ne comprend pas pourquoi c'est paquet sont bloquer sur la chaine INPUT sur l'interface ppp0 alors que mon VPN est ouvert en permanence.

Je sais pas si vous avez tout saisie, mais je remercie celles et ceux qui prendront le temps de lire mon post.
Au fait je pars en vacance demain soir donc je vais faire des tests demain mais sinon je continurai fin aout.
Merci