WebSVN – ALCASAR – Diff – /scripts/alcasar-iptables-bypass.sh


#!/bin/bash
# $Id: alcasar-iptables-bypass.sh 1056 2013-03-26 21:46:36Z stephane $
 
# alcasar-iptables-bypass.sh
# by Rexy - 3abtux
# This script is distributed under the Gnu General Public License (GPL)
 
# applique les regles du parefeu en mode ByPass
# put the firewall rules in 'ByPass' mode
 
conf_file="/usr/local/etc/alcasar.conf"
private_ip_mask=`grep PRIVATE_IP= $conf_file|cut -d"=" -f2`
private_ip_mask=${private_ip_mask:=192.168.182.1/24}
private_network=`/bin/ipcalc -n $private_ip_mask|cut -d"=" -f2`		# LAN IP address (ie.: 192.168.182.0)
private_prefix=`/bin/ipcalc -p $private_ip_mask|cut -d"=" -f2`		# LAN prefix (ie. 24)
IPTABLES="/sbin/iptables"
EXTIF="eth0"
INTIF="eth1"
PRIVATE_NETWORK_MASK=$private_network/$private_prefix			# Lan IP address + prefix (192.168.182.0/24)
PRIVATE_IP=`echo $private_ip_mask | cut -d"/" -f1`			# ALCASAR LAN IP address
 
# On vide (flush) toutes les règles existantes
# Flush all existing rules
$IPTABLES -F
$IPTABLES -t nat -F
$IPTABLES -F INPUT
$IPTABLES -F FORWARD
$IPTABLES -F OUTPUT
 
# On indique les politiques par défaut
# Default policies
$IPTABLES -P INPUT DROP
$IPTABLES -P FORWARD DROP
$IPTABLES -P OUTPUT ACCEPT
$IPTABLES -t nat -P PREROUTING ACCEPT
$IPTABLES -t nat -P POSTROUTING ACCEPT
$IPTABLES -t nat -P OUTPUT ACCEPT
 
# On efface toutes les chaînes qui ne sont pas par défaut dans les tables filter et nat
# Flush non default rules on filter and nat tables
$IPTABLES -X
$IPTABLES -t nat -X
 
# On autorise tout sur loopback
# accept all on loopback
$IPTABLES -A OUTPUT -o lo -j ACCEPT
$IPTABLES -A INPUT -i lo -j ACCEPT
 
# Insertion de règles de blocage (Devel)
# Here, we add block rules (Devel)
if [ -s /usr/local/etc/alcasar-iptables-block ]; then 
    while read ip_blocked
    do
      echo "Network Address blocked : $ip_blocked"
      $IPTABLES -A FORWARD -d $ip_blocked -j ULOG --ulog-prefix "RULE IP-blocked -- REJECT "
      $IPTABLES -A FORWARD -d $ip_blocked -j REJECT
      $IPTABLES -A FORWARD -s $ip_blocked -j ULOG --ulog-prefix "RULE IP-blocked -- REJECT "
      $IPTABLES -A FORWARD -s $ip_blocked -j REJECT
    done < /usr/local/etc/alcasar-iptables-block
fi
 
# SSHD rules if activate 
if [ $SSH = on ]
	then
	$IPTABLES -A INPUT -i $INTIF -s $PRIVATE_NETWORK_MASK -d $PRIVATE_IP -p tcp --dport ssh -m state --state NEW -j ULOG --ulog-nlgroup 2 --ulog-prefix "RULE ssh-from-LAN -- ACCEPT"
	$IPTABLES -A INPUT -i $INTIF -s $PRIVATE_NETWORK_MASK -d $PRIVATE_IP -p tcp --dport ssh -j ACCEPT
	$IPTABLES -A INPUT -i $EXTIF -s $Admin_from_IP -d $PUBLIC_IP -p tcp --dport ssh -m state --state NEW --syn -j ULOG --ulog-nlgroup 2 --ulog-prefix "RULE ssh-from-WAN -- ACCEPT"
	$IPTABLES -A INPUT -i $EXTIF -s $Admin_from_IP -d $PUBLIC_IP -p tcp --dport ssh -m state --state NEW,ESTABLISHED -j ACCEPT
	$IPTABLES -A OUTPUT -o $EXTIF -p tcp --sport ssh -m state --state ESTABLISHED -j ACCEPT
fi
 
# on autorise les requêtes dhcp
# accept dhcp
$IPTABLES -A INPUT -i $INTIF -p udp -m udp --sport bootpc --dport bootps -j ACCEPT
 
# On drop le broadcast et le multicast sur les interfaces (sans Log)
# Drop broadcast & multicast
$IPTABLES -A INPUT -m addrtype --dst-type BROADCAST,MULTICAST -j DROP
 
# On laisse passer les ICMP echo-request et echo-reply en provenance du LAN
# Allow ping (icmp N°0 & 8) from LAN
$IPTABLES -A INPUT -i $INTIF -s $PRIVATE_NETWORK_MASK -p icmp --icmp-type 0 -j ACCEPT
$IPTABLES -A INPUT -i $INTIF -s $PRIVATE_NETWORK_MASK -p icmp --icmp-type 8 -j ACCEPT
 
#  On ajoute ici les règles spécifiques de filtrage réseau (accès exterieur ...)
if [ -f /usr/local/etc/alcasar-iptables-local.sh ]; then
        . /usr/local/etc/alcasar-iptables-local.sh
fi
 
# On autorise les retours de connexions légitimes par FORWARD
# Conntrack on forward
$IPTABLES -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT
 
# On autorise les demandes de connexions sortantes
$IPTABLES -A FORWARD -i $INTIF -m state --state NEW -j ULOG --ulog-prefix "RULE Transfert -- ACCEPT "
$IPTABLES -A FORWARD -i $INTIF -m state --state NEW -j ACCEPT
 
# On autorise les flux entrant ntp, dns et ssh via INTIF
$IPTABLES -A INPUT -i $INTIF -d $PRIVATE_IP -p udp --dport domain -j ACCEPT
$IPTABLES -A INPUT -i $INTIF -d $PRIVATE_IP -p udp --dport ntp -j ACCEPT
$IPTABLES -A INPUT -i $INTIF -d $PRIVATE_IP -p tcp --dport ssh -j ACCEPT
 
# On autorise le retour des connexions entrante déjà acceptées
$IPTABLES -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
 
# On interdit et on log le reste sur les 2 interfaces d'accès
$IPTABLES -A INPUT -i $INTIF -j ULOG --ulog-prefix "RULE rej-int -- REJECT "
$IPTABLES -A INPUT -i $EXTIF -j ULOG --ulog-prefix "RULE rej-ext -- REJECT "
$IPTABLES -A INPUT -p tcp -j REJECT --reject-with tcp-reset
$IPTABLES -A INPUT -p udp -j REJECT --reject-with icmp-port-unreachable
 
# On active le masquage d'adresse par translation (NAT)
$IPTABLES -A POSTROUTING -t nat -o $EXTIF -j MASQUERADE
 
/etc/init.d/iptables save
# Fin du script des regles du parefeu
 
 
Generated by GNU Enscript 1.6.6.
 
 
 

Subversion Repositories ALCASAR

(root)/scripts/alcasar-iptables-bypass.sh – Rev 990 → 1056

Rev 990		Rev 1056
1	`#!/bin/bash`	1	`#!/bin/bash`
2	`# $Id: alcasar-iptables-bypass.sh 990 2012-08-24 22:47:27Z franck $`	2	`# $Id: alcasar-iptables-bypass.sh 1056 2013-03-26 21:46:36Z stephane $`
3		3
4	`# alcasar-iptables-bypass.sh`	4	`# alcasar-iptables-bypass.sh`
5	`# by Rexy - 3abtux`	5	`# by Rexy - 3abtux`
6	`# This script is distributed under the Gnu General Public License (GPL)`	6	`# This script is distributed under the Gnu General Public License (GPL)`
7		7
8	`# applique les regles du parefeu en mode ByPass`	8	`# applique les regles du parefeu en mode ByPass`
9	`# put the firewall rules in 'ByPass' mode`	9	`# put the firewall rules in 'ByPass' mode`
10		10
11	`conf_file="/usr/local/etc/alcasar.conf"`	11	`conf_file="/usr/local/etc/alcasar.conf"`
12	private_ip_mask=`grep PRIVATE_IP= $conf_file\|cut -d"=" -f2`	12	private_ip_mask=`grep PRIVATE_IP= $conf_file\|cut -d"=" -f2`
13	`private_ip_mask=${private_ip_mask:=192.168.182.1/24}`	13	`private_ip_mask=${private_ip_mask:=192.168.182.1/24}`
14	private_network=`/bin/ipcalc -n $private_ip_mask\|cut -d"=" -f2` # LAN IP address (ie.: 192.168.182.0)	14	private_network=`/bin/ipcalc -n $private_ip_mask\|cut -d"=" -f2` # LAN IP address (ie.: 192.168.182.0)
15	private_prefix=`/bin/ipcalc -p $private_ip_mask\|cut -d"=" -f2` # LAN prefix (ie. 24)	15	private_prefix=`/bin/ipcalc -p $private_ip_mask\|cut -d"=" -f2` # LAN prefix (ie. 24)
16	`IPTABLES="/sbin/iptables"`	16	`IPTABLES="/sbin/iptables"`
17	`EXTIF="eth0"`	17	`EXTIF="eth0"`
18	`INTIF="eth1"`	18	`INTIF="eth1"`
19	`PRIVATE_NETWORK_MASK=$private_network/$private_prefix # Lan IP address + prefix (192.168.182.0/24)`	19	`PRIVATE_NETWORK_MASK=$private_network/$private_prefix # Lan IP address + prefix (192.168.182.0/24)`
20	PRIVATE_IP=`echo $private_ip_mask \| cut -d"/" -f1` # ALCASAR LAN IP address	20	PRIVATE_IP=`echo $private_ip_mask \| cut -d"/" -f1` # ALCASAR LAN IP address
21		21
22	`# On vide (flush) toutes les règles existantes`	22	`# On vide (flush) toutes les règles existantes`
23	`# Flush all existing rules`	23	`# Flush all existing rules`
24	`$IPTABLES -F`	24	`$IPTABLES -F`
25	`$IPTABLES -t nat -F`	25	`$IPTABLES -t nat -F`
26	`$IPTABLES -F INPUT`	26	`$IPTABLES -F INPUT`
27	`$IPTABLES -F FORWARD`	27	`$IPTABLES -F FORWARD`
28	`$IPTABLES -F OUTPUT`	28	`$IPTABLES -F OUTPUT`
29		29
30	`# On indique les politiques par défaut`	30	`# On indique les politiques par défaut`
31	`# Default policies`	31	`# Default policies`
32	`$IPTABLES -P INPUT DROP`	32	`$IPTABLES -P INPUT DROP`
33	`$IPTABLES -P FORWARD DROP`	33	`$IPTABLES -P FORWARD DROP`
34	`$IPTABLES -P OUTPUT ACCEPT`	34	`$IPTABLES -P OUTPUT ACCEPT`
35	`$IPTABLES -t nat -P PREROUTING ACCEPT`	35	`$IPTABLES -t nat -P PREROUTING ACCEPT`
36	`$IPTABLES -t nat -P POSTROUTING ACCEPT`	36	`$IPTABLES -t nat -P POSTROUTING ACCEPT`
37	`$IPTABLES -t nat -P OUTPUT ACCEPT`	37	`$IPTABLES -t nat -P OUTPUT ACCEPT`
38		38
39	`# On efface toutes les chaînes qui ne sont pas par défaut dans les tables filter et nat`	39	`# On efface toutes les chaînes qui ne sont pas par défaut dans les tables filter et nat`
40	`# Flush non default rules on filter and nat tables`	40	`# Flush non default rules on filter and nat tables`
41	`$IPTABLES -X`	41	`$IPTABLES -X`
42	`$IPTABLES -t nat -X`	42	`$IPTABLES -t nat -X`
43		43
44	`# On autorise tout sur loopback`	44	`# On autorise tout sur loopback`
45	`# accept all on loopback`	45	`# accept all on loopback`
46	`$IPTABLES -A OUTPUT -o lo -j ACCEPT`	46	`$IPTABLES -A OUTPUT -o lo -j ACCEPT`
47	`$IPTABLES -A INPUT -i lo -j ACCEPT`	47	`$IPTABLES -A INPUT -i lo -j ACCEPT`
48		48
49	`# Insertion de règles de blocage (Devel)`	49	`# Insertion de règles de blocage (Devel)`
50	`# Here, we add block rules (Devel)`	50	`# Here, we add block rules (Devel)`
51	`if [ -s /usr/local/etc/alcasar-iptables-block ]; then`	51	`if [ -s /usr/local/etc/alcasar-iptables-block ]; then`
52	`while read ip_blocked`	52	`while read ip_blocked`
53	`do`	53	`do`
54	`echo "Network Address blocked : $ip_blocked"`	54	`echo "Network Address blocked : $ip_blocked"`
55	`$IPTABLES -A FORWARD -d $ip_blocked -j ULOG --ulog-prefix "RULE IP-blocked -- REJECT "`	55	`$IPTABLES -A FORWARD -d $ip_blocked -j ULOG --ulog-prefix "RULE IP-blocked -- REJECT "`
56	`$IPTABLES -A FORWARD -d $ip_blocked -j REJECT`	56	`$IPTABLES -A FORWARD -d $ip_blocked -j REJECT`
57	`$IPTABLES -A FORWARD -s $ip_blocked -j ULOG --ulog-prefix "RULE IP-blocked -- REJECT "`	57	`$IPTABLES -A FORWARD -s $ip_blocked -j ULOG --ulog-prefix "RULE IP-blocked -- REJECT "`
58	`$IPTABLES -A FORWARD -s $ip_blocked -j REJECT`	58	`$IPTABLES -A FORWARD -s $ip_blocked -j REJECT`
59	`done < /usr/local/etc/alcasar-iptables-block`	59	`done < /usr/local/etc/alcasar-iptables-block`
60	`fi`	60	`fi`
61		61
62	`# SSHD rules if activate`	62	`# SSHD rules if activate`
63	`if [ $SSH = on ]`	63	`if [ $SSH = on ]`
64	`then`	64	`then`
65	`$IPTABLES -A INPUT -i $INTIF -s $PRIVATE_NETWORK_MASK -d $PRIVATE_IP -p tcp --dport ssh -m state --state NEW -j ULOG --ulog-nlgroup 2 --ulog-prefix "RULE ssh-from-LAN -- ACCEPT"`	65	`$IPTABLES -A INPUT -i $INTIF -s $PRIVATE_NETWORK_MASK -d $PRIVATE_IP -p tcp --dport ssh -m state --state NEW -j ULOG --ulog-nlgroup 2 --ulog-prefix "RULE ssh-from-LAN -- ACCEPT"`
66	`$IPTABLES -A INPUT -i $INTIF -s $PRIVATE_NETWORK_MASK -d $PRIVATE_IP -p tcp --dport ssh -j ACCEPT`	66	`$IPTABLES -A INPUT -i $INTIF -s $PRIVATE_NETWORK_MASK -d $PRIVATE_IP -p tcp --dport ssh -j ACCEPT`
67	`$IPTABLES -A INPUT -i $EXTIF -s $Admin_from_IP -d $PUBLIC_IP -p tcp --dport ssh -m state --state NEW --syn -j ULOG --ulog-nlgroup 2 --ulog-prefix "RULE ssh-from-WAN -- ACCEPT"`	67	`$IPTABLES -A INPUT -i $EXTIF -s $Admin_from_IP -d $PUBLIC_IP -p tcp --dport ssh -m state --state NEW --syn -j ULOG --ulog-nlgroup 2 --ulog-prefix "RULE ssh-from-WAN -- ACCEPT"`
68	`$IPTABLES -A INPUT -i $EXTIF -s $Admin_from_IP -d $PUBLIC_IP -p tcp --dport ssh -m state --state NEW,ESTABLISHED -j ACCEPT`	68	`$IPTABLES -A INPUT -i $EXTIF -s $Admin_from_IP -d $PUBLIC_IP -p tcp --dport ssh -m state --state NEW,ESTABLISHED -j ACCEPT`
69	`$IPTABLES -A OUTPUT -o $EXTIF -p tcp --sport ssh -m state --state ESTABLISHED -j ACCEPT`	69	`$IPTABLES -A OUTPUT -o $EXTIF -p tcp --sport ssh -m state --state ESTABLISHED -j ACCEPT`
70	`fi`	70	`fi`
71		71
72	`# on autorise les requêtes dhcp`	72	`# on autorise les requêtes dhcp`
73	`# accept dhcp`	73	`# accept dhcp`
74	`$IPTABLES -A INPUT -i $INTIF -p udp -m udp --sport bootpc --dport bootps -j ACCEPT`	74	`$IPTABLES -A INPUT -i $INTIF -p udp -m udp --sport bootpc --dport bootps -j ACCEPT`
75		75
76	`# On drop le broadcast et le multicast sur les interfaces (sans Log)`	76	`# On drop le broadcast et le multicast sur les interfaces (sans Log)`
77	`# Drop broadcast & multicast`	77	`# Drop broadcast & multicast`
78	`$IPTABLES -A INPUT -m addrtype --dst-type BROADCAST,MULTICAST -j DROP`	78	`$IPTABLES -A INPUT -m addrtype --dst-type BROADCAST,MULTICAST -j DROP`
79		79
80	`# On laisse passer les ICMP echo-request et echo-reply en provenance du LAN`	80	`# On laisse passer les ICMP echo-request et echo-reply en provenance du LAN`
81	`# Allow ping (icmp N°0 & 8) from LAN`	81	`# Allow ping (icmp N°0 & 8) from LAN`
82	`$IPTABLES -A INPUT -i $INTIF -s $PRIVATE_NETWORK_MASK -p icmp --icmp-type 0 -j ACCEPT`	82	`$IPTABLES -A INPUT -i $INTIF -s $PRIVATE_NETWORK_MASK -p icmp --icmp-type 0 -j ACCEPT`
83	`$IPTABLES -A INPUT -i $INTIF -s $PRIVATE_NETWORK_MASK -p icmp --icmp-type 8 -j ACCEPT`	83	`$IPTABLES -A INPUT -i $INTIF -s $PRIVATE_NETWORK_MASK -p icmp --icmp-type 8 -j ACCEPT`
84		84
85	`# On ajoute ici les règles spécifiques de filtrage réseau (accès exterieur ...)`	85	`# On ajoute ici les règles spécifiques de filtrage réseau (accès exterieur ...)`
86	`if [ -f /usr/local/etc/alcasar-iptables-local.sh ]; then`	86	`if [ -f /usr/local/etc/alcasar-iptables-local.sh ]; then`
87	`. /usr/local/etc/alcasar-iptables-local.sh`	87	`. /usr/local/etc/alcasar-iptables-local.sh`
88	`fi`	88	`fi`
89		89
90	`# On autorise les retours de connexions légitimes par FORWARD`	90	`# On autorise les retours de connexions légitimes par FORWARD`
91	`# Conntrack on forward`	91	`# Conntrack on forward`
92	`$IPTABLES -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT`	92	`$IPTABLES -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT`
93		93
94	`# On autorise les demandes de connexions sortantes`	94	`# On autorise les demandes de connexions sortantes`
95	`$IPTABLES -A FORWARD -i $INTIF -m state --state NEW -j ULOG --ulog-prefix "RULE Transfert -- ACCEPT "`	95	`$IPTABLES -A FORWARD -i $INTIF -m state --state NEW -j ULOG --ulog-prefix "RULE Transfert -- ACCEPT "`
96	`$IPTABLES -A FORWARD -i $INTIF -m state --state NEW -j ACCEPT`	96	`$IPTABLES -A FORWARD -i $INTIF -m state --state NEW -j ACCEPT`
97		97
98	`# On autorise les flux entrant ntp, dns et ssh via INTIF`	98	`# On autorise les flux entrant ntp, dns et ssh via INTIF`
99	`$IPTABLES -A INPUT -i $INTIF -d $PRIVATE_IP -p udp --dport domain -j ACCEPT`	99	`$IPTABLES -A INPUT -i $INTIF -d $PRIVATE_IP -p udp --dport domain -j ACCEPT`
100	`$IPTABLES -A INPUT -i $INTIF -d $PRIVATE_IP -p udp --dport ntp -j ACCEPT`	100	`$IPTABLES -A INPUT -i $INTIF -d $PRIVATE_IP -p udp --dport ntp -j ACCEPT`
101	`$IPTABLES -A INPUT -i $INTIF -d $PRIVATE_IP -p tcp --dport ssh -j ACCEPT`	101	`$IPTABLES -A INPUT -i $INTIF -d $PRIVATE_IP -p tcp --dport ssh -j ACCEPT`
102		102
103	`# On autorise le retour des connexions entrante déjà acceptées`	103	`# On autorise le retour des connexions entrante déjà acceptées`
104	`$IPTABLES -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT`	104	`$IPTABLES -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT`
105		105
106	`# On interdit et on log le reste sur les 2 interfaces d'accès`	106	`# On interdit et on log le reste sur les 2 interfaces d'accès`
107	`$IPTABLES -A INPUT -i $INTIF -j ULOG --ulog-prefix "RULE rej-int -- REJECT "`	107	`$IPTABLES -A INPUT -i $INTIF -j ULOG --ulog-prefix "RULE rej-int -- REJECT "`
108	`$IPTABLES -A INPUT -i $EXTIF -j ULOG --ulog-prefix "RULE rej-ext -- REJECT "`	108	`$IPTABLES -A INPUT -i $EXTIF -j ULOG --ulog-prefix "RULE rej-ext -- REJECT "`
109	`$IPTABLES -A INPUT -p tcp -j REJECT --reject-with tcp-reset`	109	`$IPTABLES -A INPUT -p tcp -j REJECT --reject-with tcp-reset`
110	`$IPTABLES -A INPUT -p udp -j REJECT --reject-with icmp-port-unreachable`	110	`$IPTABLES -A INPUT -p udp -j REJECT --reject-with icmp-port-unreachable`
111		111
112	`# On active le masquage d'adresse par translation (NAT)`	112	`# On active le masquage d'adresse par translation (NAT)`
113	`$IPTABLES -A POSTROUTING -t nat -o $EXTIF -j MASQUERADE`	113	`$IPTABLES -A POSTROUTING -t nat -o $EXTIF -j MASQUERADE`
114		114
115	`/etc/init.d/iptables save`	115	`/etc/init.d/iptables save`
116	`# Fin du script des regles du parefeu`	116	`# Fin du script des regles du parefeu`
117		117
118		118
119	`Generated by GNU Enscript 1.6.6.`	119	`Generated by GNU Enscript 1.6.6.`
120		120
121		121
122		122