Subversion Repositories ALCASAR

Rev

Rev 1 | Rev 64 | Go to most recent revision | Details | Compare with Previous | Last modification | View Log

Rev Author Line No. Line
1 root 1
#!/bin/sh
2
# script d'initialisation des regles du parefeu en mode ByPass
3
# Rexy - 3abtux
4
# version 1.8 - 12/2009
5
# changelog :
6
# 	+ prise en compte optionnelle d'un fichier iptables 'personnel' permettant de bloquer certains flux/services
7
#	+ suppression log vers syslog
8
#	+ suppression du broadcast et du multicast sur les interfaces
9
 
10
IPTABLES="/sbin/iptables"
11
 
12
EXTIF="eth0"
13
INTIF="eth1"
14
PRIVATE_NETWORK_MASK="192.168.182.0/24"
15
 
16
# On vide (flush) toutes les règles existantes
17
$IPTABLES -F
18
$IPTABLES -t nat -F
19
$IPTABLES -F INPUT
20
$IPTABLES -F FORWARD
21
$IPTABLES -F OUTPUT
22
 
23
# On indique les politiques par défaut
24
$IPTABLES -P INPUT DROP
25
$IPTABLES -P FORWARD DROP
26
$IPTABLES -P OUTPUT ACCEPT
27
$IPTABLES -t nat -P PREROUTING ACCEPT
28
$IPTABLES -t nat -P POSTROUTING ACCEPT
29
$IPTABLES -t nat -P OUTPUT ACCEPT
30
 
31
# On efface toutes les chaînes qui ne sont pas par défaut dans les tables filter et nat
32
$IPTABLES -X
33
$IPTABLES -t nat -X
34
 
35
# On autorise tout sur loopback
36
$IPTABLES -A INPUT -i lo -j ACCEPT
37
 
38
# on autorise les requêtes dhcp
39
$IPTABLES -A INPUT -i $INTIF -p udp -m udp --sport bootpc --dport bootps -j ACCEPT
40
 
41
# Règles d'antispoofing
42
$IPTABLES -A INPUT -i $INTIF ! -s $PRIVATE_NETWORK_MASK -j ULOG --ulog-prefix "RULE Antispoof1 -- DENY "
43
$IPTABLES -A INPUT -i $INTIF ! -s $PRIVATE_NETWORK_MASK -j DROP
44
$IPTABLES -A INPUT -i $EXTIF -s $PRIVATE_NETWORK_MASK -j ULOG --ulog-prefix "RULE Antispoof2 -- DENY "
45
$IPTABLES -A INPUT -i $EXTIF -s $PRIVATE_NETWORK_MASK -j DROP
46
 
47
# On drop le broadcast et le multicasat sur les interfaces (sans Log)
48
$IPTABLES -A INPUT -m addrtype --dst-type BROADCAST,MULTICAST -j DROP
49
 
50
# On autorise le ping dans les deux sens (icmp N°0 & 8) en provenance du LAN
51
$IPTABLES -A INPUT -i $INTIF -s $PRIVATE_NETWORK_MASK -p icmp --icmp-type 0 -j ACCEPT
52
$IPTABLES -A INPUT -i $INTIF -s $PRIVATE_NETWORK_MASK -p icmp --icmp-type 8 -j ACCEPT
53
 
54
# On autorise le tranfert des requête DNS (sans LOG)
55
$IPTABLES -A FORWARD -i $INTIF -p udp --dport  domain -j ACCEPT
56
 
57
# On autorise le flux dans les deux sens (avec Log sur les demandes de connexion).
58
$IPTABLES -A FORWARD -i $INTIF -m state --state NEW -j ULOG --ulog-prefix "RULE Transfert -- ACCEPT "
59
$IPTABLES -A FORWARD -i $INTIF -m state --state NEW -j ACCEPT
60
$IPTABLES -A FORWARD -i $INTIF -m state --state RELATED,ESTABLISHED -j ACCEPT
61
$IPTABLES -A FORWARD -o $INTIF -m state --state RELATED,ESTABLISHED -j ACCEPT
62
 
63
# On autorise les flux entrant ntp et ssh via INTIF
64
$IPTABLES -A INPUT -i $INTIF -p udp --dport ntp -j ACCEPT
65
$IPTABLES -A INPUT -i $INTIF -p tcp --dport ssh -j ACCEPT
66
 
67
# On autorise les flux entrant des connexions déjà établies (ping à partir du portail par exemple)
68
$IPTABLES -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
69
 
70
# On interdit et on log le reste sur les 2 interfaces d'accès
71
$IPTABLES -A INPUT -i $INTIF -j ULOG --ulog-prefix "RULE rej-int -- REJECT "
72
$IPTABLES -A INPUT -i $EXTIF -j ULOG --ulog-prefix "RULE rej-ext -- REJECT "
73
$IPTABLES -A INPUT -p tcp -j REJECT --reject-with tcp-reset
74
$IPTABLES -A INPUT -p udp -j REJECT --reject-with icmp-port-unreachable
75
 
76
# On active le masquage d'adresse par translation (NAT)
77
$IPTABLES -A POSTROUTING -t nat -o $EXTIF -j MASQUERADE
78
 
79
/etc/init.d/iptables save
80
# Fin du script des regles du parefeu