WebSVN – ALCASAR – Diff – /scripts/alcasar-iptables-bypass.sh


#!/bin/bash
# $Id: alcasar-iptables-bypass.sh 2957 2021-05-26 13:06:56Z rexy $
 
# alcasar-iptables-bypass.sh
# by Rexy - 3abtux
# This script is distributed under the Gnu General Public License (GPL)
 
# applique les regles du parefeu en mode ByPass
# put the firewall rules in 'ByPass' mode
 
CONF_FILE="/usr/local/etc/alcasar.conf"
private_ip_mask=`grep ^PRIVATE_IP= $CONF_FILE|cut -d"=" -f2`
private_ip_mask=${private_ip_mask:=192.168.182.1/24}
private_network=`/bin/ipcalc -n $private_ip_mask|cut -d"=" -f2`		# LAN IP address (ie.: 192.168.182.0)
private_prefix=`/bin/ipcalc -p $private_ip_mask|cut -d"=" -f2`		# LAN prefix (ie. 24)
IPTABLES="/sbin/iptables"
EXTIF=`grep ^EXTIF= $CONF_FILE|cut -d"=" -f2`				# EXTernal InterFace
INTIF=`grep ^INTIF= $CONF_FILE|cut -d"=" -f2`				# INTernal InterFace
PRIVATE_NETWORK_MASK=$private_network/$private_prefix			# Lan IP address + prefix (192.168.182.0/24)
PRIVATE_IP=`echo $private_ip_mask | cut -d"/" -f1`			# ALCASAR LAN IP address
public_ip_mask=`grep ^PUBLIC_IP= $CONF_FILE|cut -d"=" -f2`		# ALCASAR WAN IP address
if [[ "$public_ip_mask" == "dhcp" ]]
then
	PTN="\b(25[0-5]|2[0-4][0-9]|[01]?[0-9][0-9]?)\.(25[0-5]|2[0-4][0-9]|[01]?[0-9][0-9]?)\.(25[0-5]|2[0-4][0-9]|[01]?[0-9][0-9]?)\.(25[0-5]|2[0-4][0-9]|[01]?[0-9][0-9]?)\/([012]?[0-9]|3[0-2])\b"
	public_ip_mask=`ip addr show $EXTIF | egrep -o $PTN`
fi
PUBLIC_IP=`echo $public_ip_mask | cut -d"/" -f1`
SSH=`grep ^SSH= $CONF_FILE|cut -d"=" -f2`				# sshd active (on/off)
SSH=${SSH:=off}
SSH_ADMIN_FROM=`grep ^SSH_ADMIN_FROM= $CONF_FILE|cut -d"=" -f2`
SSH_ADMIN_FROM=${SSH_ADMIN_FROM:="0.0.0.0/0.0.0.0"}				# WAN IP address to reduce ssh access (all ip allowed on LAN side)
 
 
# On vide (flush) toutes les règles existantes
# Flush all existing rules
$IPTABLES -F
$IPTABLES -t nat -F
$IPTABLES -F INPUT
$IPTABLES -F FORWARD
$IPTABLES -F OUTPUT
 
# On indique les politiques par défaut
# Default policies
$IPTABLES -P INPUT DROP
$IPTABLES -P FORWARD DROP
$IPTABLES -P OUTPUT ACCEPT
$IPTABLES -t nat -P PREROUTING ACCEPT
$IPTABLES -t nat -P POSTROUTING ACCEPT
$IPTABLES -t nat -P OUTPUT ACCEPT
 
# On efface toutes les chaînes qui ne sont pas par défaut dans les tables filter et nat
# Flush non default rules on filter and nat tables
$IPTABLES -X
$IPTABLES -t nat -X
 
# On autorise tout sur loopback
# accept all on loopback
$IPTABLES -A OUTPUT -o lo -j ACCEPT
$IPTABLES -A INPUT -i lo -j ACCEPT
 
# Insertion de règles de blocage (Devel)
# Here, we add block rules (Devel)
if [ -s /usr/local/etc/alcasar-ip-blocked ]; then
	while read ip_line
	do
		ip_on=`echo $ip_line|cut -b1`
		if [ $ip_on != "#" ]
		then	
			ip_blocked=`echo $ip_line|cut -d" " -f1`
			$IPTABLES -A FORWARD -d $ip_blocked -j NFLOG --nflog-group 1 --nflog-prefix "RULE IP-blocked -- REJECT "
			$IPTABLES -A FORWARD -d $ip_blocked -j REJECT
		fi
	done < /usr/local/etc/alcasar-ip-blocked
fi
 
# SSHD rules if activate
if [ $SSH = on ]
	then
	$IPTABLES -A INPUT -i $INTIF -s $PRIVATE_NETWORK_MASK -d $PRIVATE_IP -p tcp --dport ssh -m state --state NEW -j NFLOG --nflog-group 2 --nflog-prefix "RULE ssh-from-LAN -- ACCEPT"
	$IPTABLES -A INPUT -i $INTIF -s $PRIVATE_NETWORK_MASK -d $PRIVATE_IP -p tcp --dport ssh -m state --state NEW -j ACCEPT
	$IPTABLES -A INPUT -i $EXTIF -s $SSH_ADMIN_FROM -d $PUBLIC_IP -p tcp --dport ssh -m state --state NEW --syn -j NFLOG --nflog-group 2 --nflog-prefix "RULE ssh-from-WAN -- ACCEPT"
	$IPTABLES -A INPUT -i $EXTIF -s $SSH_ADMIN_FROM -d $PUBLIC_IP -p tcp --dport ssh -m state --state NEW -j ACCEPT
fi
# Insertion de règles locales
# Here, we add local rules (i.e. VPN from Internet)
if [ -f /usr/local/etc/alcasar-iptables-local.sh ]; then
	. /usr/local/etc/alcasar-iptables-local.sh
fi
 
# on autorise les requêtes dhcp
# accept dhcp
$IPTABLES -A INPUT -i $INTIF -p udp -m udp --sport bootpc --dport bootps -j ACCEPT
 
# On drop le broadcast et le multicast sur les interfaces (sans Log)
# Drop broadcast & multicast
$IPTABLES -A INPUT -m addrtype --dst-type BROADCAST,MULTICAST -j DROP
 
# On laisse passer les ICMP echo-request et echo-reply en provenance du LAN
# Allow ping (icmp N°0 & 8) from LAN
$IPTABLES -A INPUT -i $INTIF -s $PRIVATE_NETWORK_MASK -p icmp --icmp-type 0 -j ACCEPT
$IPTABLES -A INPUT -i $INTIF -s $PRIVATE_NETWORK_MASK -p icmp --icmp-type 8 -j ACCEPT
 
# On autorise les retours de connexions légitimes par FORWARD
# Conntrack on forward
$IPTABLES -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT
 
# On autorise les demandes de connexions sortantes
$IPTABLES -A FORWARD -i $INTIF -m state --state NEW -j NFLOG --nflog-group 1 --nflog-prefix "RULE Transfert -- ACCEPT "
$IPTABLES -A FORWARD -i $INTIF -m state --state NEW -j ACCEPT
 
# On autorise les flux entrant ntp et dns via INTIF
$IPTABLES -A INPUT -i $INTIF -d $PRIVATE_IP -p udp --dport domain -j ACCEPT
$IPTABLES -A INPUT -i $INTIF -d $PRIVATE_IP -p udp --dport ntp -j ACCEPT
 
# On autorise le retour des connexions entrante déjà acceptées
$IPTABLES -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
 
# On interdit et on log le reste sur les 2 interfaces d'accès
$IPTABLES -A INPUT -i $INTIF -j NFLOG --nflog-group 1 --nflog-prefix "RULE rej-int -- REJECT "
$IPTABLES -A INPUT -i $EXTIF -j NFLOG --nflog-group 1 --nflog-prefix "RULE rej-ext -- REJECT "
$IPTABLES -A INPUT -p tcp -j REJECT --reject-with tcp-reset
$IPTABLES -A INPUT -p udp -j REJECT --reject-with icmp-port-unreachable
 
# On active le masquage d'adresse par translation (NAT)
$IPTABLES -A POSTROUTING -t nat -o $EXTIF -j MASQUERADE
 
# on ne sauvegarde pas les règles. En cas de reboot, on repasse ainsi automatiquement en mode normal (bypass -off)
# Fin du script des regles du parefeu
 
 
Generated by GNU Enscript 1.6.6.
 
 
 

Subversion Repositories ALCASAR

(root)/scripts/alcasar-iptables-bypass.sh – Rev 2474 → 2957

Rev 2474		Rev 2957
1	`#!/bin/bash`	1	`#!/bin/bash`
2	`# $Id: alcasar-iptables-bypass.sh 2474 2017-12-30 02:00:04Z tom.houdayer $`	2	`# $Id: alcasar-iptables-bypass.sh 2957 2021-05-26 13:06:56Z rexy $`
3		3
4	`# alcasar-iptables-bypass.sh`	4	`# alcasar-iptables-bypass.sh`
5	`# by Rexy - 3abtux`	5	`# by Rexy - 3abtux`
6	`# This script is distributed under the Gnu General Public License (GPL)`	6	`# This script is distributed under the Gnu General Public License (GPL)`
7		7
8	`# applique les regles du parefeu en mode ByPass`	8	`# applique les regles du parefeu en mode ByPass`
9	`# put the firewall rules in 'ByPass' mode`	9	`# put the firewall rules in 'ByPass' mode`
10		10
11	`CONF_FILE="/usr/local/etc/alcasar.conf"`	11	`CONF_FILE="/usr/local/etc/alcasar.conf"`
12	private_ip_mask=`grep ^PRIVATE_IP= $CONF_FILE\|cut -d"=" -f2`	12	private_ip_mask=`grep ^PRIVATE_IP= $CONF_FILE\|cut -d"=" -f2`
13	`private_ip_mask=${private_ip_mask:=192.168.182.1/24}`	13	`private_ip_mask=${private_ip_mask:=192.168.182.1/24}`
14	private_network=`/bin/ipcalc -n $private_ip_mask\|cut -d"=" -f2` # LAN IP address (ie.: 192.168.182.0)	14	private_network=`/bin/ipcalc -n $private_ip_mask\|cut -d"=" -f2` # LAN IP address (ie.: 192.168.182.0)
15	private_prefix=`/bin/ipcalc -p $private_ip_mask\|cut -d"=" -f2` # LAN prefix (ie. 24)	15	private_prefix=`/bin/ipcalc -p $private_ip_mask\|cut -d"=" -f2` # LAN prefix (ie. 24)
16	`IPTABLES="/sbin/iptables"`	16	`IPTABLES="/sbin/iptables"`
17	EXTIF=`grep ^EXTIF= $CONF_FILE\|cut -d"=" -f2` # EXTernal InterFace	17	EXTIF=`grep ^EXTIF= $CONF_FILE\|cut -d"=" -f2` # EXTernal InterFace
18	INTIF=`grep ^INTIF= $CONF_FILE\|cut -d"=" -f2` # INTernal InterFace	18	INTIF=`grep ^INTIF= $CONF_FILE\|cut -d"=" -f2` # INTernal InterFace
19	`PRIVATE_NETWORK_MASK=$private_network/$private_prefix # Lan IP address + prefix (192.168.182.0/24)`	19	`PRIVATE_NETWORK_MASK=$private_network/$private_prefix # Lan IP address + prefix (192.168.182.0/24)`
20	PRIVATE_IP=`echo $private_ip_mask \| cut -d"/" -f1` # ALCASAR LAN IP address	20	PRIVATE_IP=`echo $private_ip_mask \| cut -d"/" -f1` # ALCASAR LAN IP address
21	public_ip_mask=`grep ^PUBLIC_IP= $CONF_FILE\|cut -d"=" -f2` # ALCASAR WAN IP address	21	public_ip_mask=`grep ^PUBLIC_IP= $CONF_FILE\|cut -d"=" -f2` # ALCASAR WAN IP address
-		22	`if [[ "$public_ip_mask" == "dhcp" ]]`
-		23	`then`
-		24	`PTN="\b(25[0-5]\|2[0-4][0-9]\|[01]?[0-9][0-9]?)\.(25[0-5]\|2[0-4][0-9]\|[01]?[0-9][0-9]?)\.(25[0-5]\|2[0-4][0-9]\|[01]?[0-9][0-9]?)\.(25[0-5]\|2[0-4][0-9]\|[01]?[0-9][0-9]?)\/([012]?[0-9]\|3[0-2])\b"`
-		25	public_ip_mask=`ip addr show $EXTIF \| egrep -o $PTN`
-		26	`fi`
22	PUBLIC_IP=`echo $public_ip_mask \| cut -d"/" -f1`	27	PUBLIC_IP=`echo $public_ip_mask \| cut -d"/" -f1`
23	SSH=`grep ^SSH= $CONF_FILE\|cut -d"=" -f2` # sshd active (on/off)	28	SSH=`grep ^SSH= $CONF_FILE\|cut -d"=" -f2` # sshd active (on/off)
24	`SSH=${SSH:=off}`	29	`SSH=${SSH:=off}`
25	SSH_ADMIN_FROM=`grep ^SSH_ADMIN_FROM= $CONF_FILE\|cut -d"=" -f2`	30	SSH_ADMIN_FROM=`grep ^SSH_ADMIN_FROM= $CONF_FILE\|cut -d"=" -f2`
26	`SSH_ADMIN_FROM=${SSH_ADMIN_FROM:="0.0.0.0/0.0.0.0"} # WAN IP address to reduce ssh access (all ip allowed on LAN side)`	31	`SSH_ADMIN_FROM=${SSH_ADMIN_FROM:="0.0.0.0/0.0.0.0"} # WAN IP address to reduce ssh access (all ip allowed on LAN side)`
27		32
28		33
29	`# On vide (flush) toutes les règles existantes`	34	`# On vide (flush) toutes les règles existantes`
30	`# Flush all existing rules`	35	`# Flush all existing rules`
31	`$IPTABLES -F`	36	`$IPTABLES -F`
32	`$IPTABLES -t nat -F`	37	`$IPTABLES -t nat -F`
33	`$IPTABLES -F INPUT`	38	`$IPTABLES -F INPUT`
34	`$IPTABLES -F FORWARD`	39	`$IPTABLES -F FORWARD`
35	`$IPTABLES -F OUTPUT`	40	`$IPTABLES -F OUTPUT`
36		41
37	`# On indique les politiques par défaut`	42	`# On indique les politiques par défaut`
38	`# Default policies`	43	`# Default policies`
39	`$IPTABLES -P INPUT DROP`	44	`$IPTABLES -P INPUT DROP`
40	`$IPTABLES -P FORWARD DROP`	45	`$IPTABLES -P FORWARD DROP`
41	`$IPTABLES -P OUTPUT ACCEPT`	46	`$IPTABLES -P OUTPUT ACCEPT`
42	`$IPTABLES -t nat -P PREROUTING ACCEPT`	47	`$IPTABLES -t nat -P PREROUTING ACCEPT`
43	`$IPTABLES -t nat -P POSTROUTING ACCEPT`	48	`$IPTABLES -t nat -P POSTROUTING ACCEPT`
44	`$IPTABLES -t nat -P OUTPUT ACCEPT`	49	`$IPTABLES -t nat -P OUTPUT ACCEPT`
45		50
46	`# On efface toutes les chaînes qui ne sont pas par défaut dans les tables filter et nat`	51	`# On efface toutes les chaînes qui ne sont pas par défaut dans les tables filter et nat`
47	`# Flush non default rules on filter and nat tables`	52	`# Flush non default rules on filter and nat tables`
48	`$IPTABLES -X`	53	`$IPTABLES -X`
49	`$IPTABLES -t nat -X`	54	`$IPTABLES -t nat -X`
50		55
51	`# On autorise tout sur loopback`	56	`# On autorise tout sur loopback`
52	`# accept all on loopback`	57	`# accept all on loopback`
53	`$IPTABLES -A OUTPUT -o lo -j ACCEPT`	58	`$IPTABLES -A OUTPUT -o lo -j ACCEPT`
54	`$IPTABLES -A INPUT -i lo -j ACCEPT`	59	`$IPTABLES -A INPUT -i lo -j ACCEPT`
55		60
56	`# Insertion de règles de blocage (Devel)`	61	`# Insertion de règles de blocage (Devel)`
57	`# Here, we add block rules (Devel)`	62	`# Here, we add block rules (Devel)`
58	`if [ -s /usr/local/etc/alcasar-ip-blocked ]; then`	63	`if [ -s /usr/local/etc/alcasar-ip-blocked ]; then`
59	`while read ip_line`	64	`while read ip_line`
60	`do`	65	`do`
61	ip_on=`echo $ip_line\|cut -b1`	66	ip_on=`echo $ip_line\|cut -b1`
62	`if [ $ip_on != "#" ]`	67	`if [ $ip_on != "#" ]`
63	`then`	68	`then`
64	ip_blocked=`echo $ip_line\|cut -d" " -f1`	69	ip_blocked=`echo $ip_line\|cut -d" " -f1`
65	`$IPTABLES -A FORWARD -d $ip_blocked -j NFLOG --nflog-group 1 --nflog-prefix "RULE IP-blocked -- REJECT "`	70	`$IPTABLES -A FORWARD -d $ip_blocked -j NFLOG --nflog-group 1 --nflog-prefix "RULE IP-blocked -- REJECT "`
66	`$IPTABLES -A FORWARD -d $ip_blocked -j REJECT`	71	`$IPTABLES -A FORWARD -d $ip_blocked -j REJECT`
67	`fi`	72	`fi`
68	`done < /usr/local/etc/alcasar-ip-blocked`	73	`done < /usr/local/etc/alcasar-ip-blocked`
69	`fi`	74	`fi`
70		75
71	`# SSHD rules if activate`	76	`# SSHD rules if activate`
72	`if [ $SSH = on ]`	77	`if [ $SSH = on ]`
73	`then`	78	`then`
74	`$IPTABLES -A INPUT -i $INTIF -s $PRIVATE_NETWORK_MASK -d $PRIVATE_IP -p tcp --dport ssh -m state --state NEW -j NFLOG --nflog-group 2 --nflog-prefix "RULE ssh-from-LAN -- ACCEPT"`	79	`$IPTABLES -A INPUT -i $INTIF -s $PRIVATE_NETWORK_MASK -d $PRIVATE_IP -p tcp --dport ssh -m state --state NEW -j NFLOG --nflog-group 2 --nflog-prefix "RULE ssh-from-LAN -- ACCEPT"`
75	`$IPTABLES -A INPUT -i $INTIF -s $PRIVATE_NETWORK_MASK -d $PRIVATE_IP -p tcp --dport ssh -m state --state NEW -j ACCEPT`	80	`$IPTABLES -A INPUT -i $INTIF -s $PRIVATE_NETWORK_MASK -d $PRIVATE_IP -p tcp --dport ssh -m state --state NEW -j ACCEPT`
76	`$IPTABLES -A INPUT -i $EXTIF -s $SSH_ADMIN_FROM -d $PUBLIC_IP -p tcp --dport ssh -m state --state NEW --syn -j NFLOG --nflog-group 2 --nflog-prefix "RULE ssh-from-WAN -- ACCEPT"`	81	`$IPTABLES -A INPUT -i $EXTIF -s $SSH_ADMIN_FROM -d $PUBLIC_IP -p tcp --dport ssh -m state --state NEW --syn -j NFLOG --nflog-group 2 --nflog-prefix "RULE ssh-from-WAN -- ACCEPT"`
77	`$IPTABLES -A INPUT -i $EXTIF -s $SSH_ADMIN_FROM -d $PUBLIC_IP -p tcp --dport ssh -m state --state NEW -j ACCEPT`	82	`$IPTABLES -A INPUT -i $EXTIF -s $SSH_ADMIN_FROM -d $PUBLIC_IP -p tcp --dport ssh -m state --state NEW -j ACCEPT`
78	`fi`	83	`fi`
79	`# Insertion de règles locales`	84	`# Insertion de règles locales`
80	`# Here, we add local rules (i.e. VPN from Internet)`	85	`# Here, we add local rules (i.e. VPN from Internet)`
81	`if [ -f /usr/local/etc/alcasar-iptables-local.sh ]; then`	86	`if [ -f /usr/local/etc/alcasar-iptables-local.sh ]; then`
82	`. /usr/local/etc/alcasar-iptables-local.sh`	87	`. /usr/local/etc/alcasar-iptables-local.sh`
83	`fi`	88	`fi`
84		89
85	`# on autorise les requêtes dhcp`	90	`# on autorise les requêtes dhcp`
86	`# accept dhcp`	91	`# accept dhcp`
87	`$IPTABLES -A INPUT -i $INTIF -p udp -m udp --sport bootpc --dport bootps -j ACCEPT`	92	`$IPTABLES -A INPUT -i $INTIF -p udp -m udp --sport bootpc --dport bootps -j ACCEPT`
88		93
89	`# On drop le broadcast et le multicast sur les interfaces (sans Log)`	94	`# On drop le broadcast et le multicast sur les interfaces (sans Log)`
90	`# Drop broadcast & multicast`	95	`# Drop broadcast & multicast`
91	`$IPTABLES -A INPUT -m addrtype --dst-type BROADCAST,MULTICAST -j DROP`	96	`$IPTABLES -A INPUT -m addrtype --dst-type BROADCAST,MULTICAST -j DROP`
92		97
93	`# On laisse passer les ICMP echo-request et echo-reply en provenance du LAN`	98	`# On laisse passer les ICMP echo-request et echo-reply en provenance du LAN`
94	`# Allow ping (icmp N°0 & 8) from LAN`	99	`# Allow ping (icmp N°0 & 8) from LAN`
95	`$IPTABLES -A INPUT -i $INTIF -s $PRIVATE_NETWORK_MASK -p icmp --icmp-type 0 -j ACCEPT`	100	`$IPTABLES -A INPUT -i $INTIF -s $PRIVATE_NETWORK_MASK -p icmp --icmp-type 0 -j ACCEPT`
96	`$IPTABLES -A INPUT -i $INTIF -s $PRIVATE_NETWORK_MASK -p icmp --icmp-type 8 -j ACCEPT`	101	`$IPTABLES -A INPUT -i $INTIF -s $PRIVATE_NETWORK_MASK -p icmp --icmp-type 8 -j ACCEPT`
97		102
98	`# On autorise les retours de connexions légitimes par FORWARD`	103	`# On autorise les retours de connexions légitimes par FORWARD`
99	`# Conntrack on forward`	104	`# Conntrack on forward`
100	`$IPTABLES -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT`	105	`$IPTABLES -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT`
101		106
102	`# On autorise les demandes de connexions sortantes`	107	`# On autorise les demandes de connexions sortantes`
103	`$IPTABLES -A FORWARD -i $INTIF -m state --state NEW -j NFLOG --nflog-group 1 --nflog-prefix "RULE Transfert -- ACCEPT "`	108	`$IPTABLES -A FORWARD -i $INTIF -m state --state NEW -j NFLOG --nflog-group 1 --nflog-prefix "RULE Transfert -- ACCEPT "`
104	`$IPTABLES -A FORWARD -i $INTIF -m state --state NEW -j ACCEPT`	109	`$IPTABLES -A FORWARD -i $INTIF -m state --state NEW -j ACCEPT`
105		110
106	`# On autorise les flux entrant ntp et dns via INTIF`	111	`# On autorise les flux entrant ntp et dns via INTIF`
107	`$IPTABLES -A INPUT -i $INTIF -d $PRIVATE_IP -p udp --dport domain -j ACCEPT`	112	`$IPTABLES -A INPUT -i $INTIF -d $PRIVATE_IP -p udp --dport domain -j ACCEPT`
108	`$IPTABLES -A INPUT -i $INTIF -d $PRIVATE_IP -p udp --dport ntp -j ACCEPT`	113	`$IPTABLES -A INPUT -i $INTIF -d $PRIVATE_IP -p udp --dport ntp -j ACCEPT`
109		114
110	`# On autorise le retour des connexions entrante déjà acceptées`	115	`# On autorise le retour des connexions entrante déjà acceptées`
111	`$IPTABLES -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT`	116	`$IPTABLES -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT`
112		117
113	`# On interdit et on log le reste sur les 2 interfaces d'accès`	118	`# On interdit et on log le reste sur les 2 interfaces d'accès`
114	`$IPTABLES -A INPUT -i $INTIF -j NFLOG --nflog-group 1 --nflog-prefix "RULE rej-int -- REJECT "`	119	`$IPTABLES -A INPUT -i $INTIF -j NFLOG --nflog-group 1 --nflog-prefix "RULE rej-int -- REJECT "`
115	`$IPTABLES -A INPUT -i $EXTIF -j NFLOG --nflog-group 1 --nflog-prefix "RULE rej-ext -- REJECT "`	120	`$IPTABLES -A INPUT -i $EXTIF -j NFLOG --nflog-group 1 --nflog-prefix "RULE rej-ext -- REJECT "`
116	`$IPTABLES -A INPUT -p tcp -j REJECT --reject-with tcp-reset`	121	`$IPTABLES -A INPUT -p tcp -j REJECT --reject-with tcp-reset`
117	`$IPTABLES -A INPUT -p udp -j REJECT --reject-with icmp-port-unreachable`	122	`$IPTABLES -A INPUT -p udp -j REJECT --reject-with icmp-port-unreachable`
118		123
119	`# On active le masquage d'adresse par translation (NAT)`	124	`# On active le masquage d'adresse par translation (NAT)`
120	`$IPTABLES -A POSTROUTING -t nat -o $EXTIF -j MASQUERADE`	125	`$IPTABLES -A POSTROUTING -t nat -o $EXTIF -j MASQUERADE`
121		126
122	`# on ne sauvegarde pas les règles. En cas de reboot, on repasse ainsi automatiquement en mode normal (bypass -off)`	127	`# on ne sauvegarde pas les règles. En cas de reboot, on repasse ainsi automatiquement en mode normal (bypass -off)`
123	`# Fin du script des regles du parefeu`	128	`# Fin du script des regles du parefeu`
124		129
125		130
126	`Generated by GNU Enscript 1.6.6.`	131	`Generated by GNU Enscript 1.6.6.`
127		132
128		133
129		134