Subversion Repositories ALCASAR

Rev

Rev 411 | Rev 519 | Go to most recent revision | Only display areas with differences | Ignore whitespace | Details | Blame | Last modification | View Log

Rev 411 Rev 518
1
#!/bin/sh
1
#!/bin/sh
2
# $Id: alcasar-iptables-bypass.sh 411 2011-01-03 21:05:11Z richard $
2
# $Id: alcasar-iptables-bypass.sh 518 2011-03-25 16:04:12Z stephane $
3
 
3
 
4
# script d'initialisation des regles du parefeu en mode ByPass
4
# script d'initialisation des regles du parefeu en mode ByPass
5
# Rexy - 3abtux
5
# Rexy - 3abtux
6
# version 2.0 - 12/2010
6
# version 2.0 - 12/2010
7
# changelog :
7
# changelog :
8
#	+ Prise en compte de regles locales
8
#	+ Prise en compte de regles locales
9
# 	+ prise en compte optionnelle d'un fichier iptables 'personnel' permettant de bloquer certains flux/services
9
# 	+ prise en compte optionnelle d'un fichier iptables 'personnel' permettant de bloquer certains flux/services
10
#	+ suppression du broadcast et du multicast sur les interfaces
10
#	+ suppression du broadcast et du multicast sur les interfaces
11
#	+ adaptation dnsmasq
11
#	+ adaptation dnsmasq
12
 
12
 
-
 
13
 
13
IPTABLES="/sbin/iptables"
14
IPTABLES="/sbin/iptables"
14
 
15
 
15
EXTIF="eth0"
16
EXTIF="eth0"
16
INTIF="eth1"
17
INTIF="eth1"
17
PRIVATE_NETWORK_MASK="192.168.182.0/24"
18
PRIVATE_NETWORK_MASK="192.168.182.0/24"
18
PRIVATE_IP="192.168.182.1"
19
PRIVATE_IP="192.168.182.1"
19
 
20
 
20
# On vide (flush) toutes les règles existantes
21
# On vide (flush) toutes les règles existantes
21
$IPTABLES -F
22
$IPTABLES -F
22
$IPTABLES -t nat -F
23
$IPTABLES -t nat -F
23
$IPTABLES -F INPUT
24
$IPTABLES -F INPUT
24
$IPTABLES -F FORWARD
25
$IPTABLES -F FORWARD
25
$IPTABLES -F OUTPUT
26
$IPTABLES -F OUTPUT
26
 
27
 
27
# On indique les politiques par défaut
28
# On indique les politiques par défaut
28
$IPTABLES -P INPUT DROP
29
$IPTABLES -P INPUT DROP
29
$IPTABLES -P FORWARD DROP
30
$IPTABLES -P FORWARD DROP
30
$IPTABLES -P OUTPUT ACCEPT
31
$IPTABLES -P OUTPUT ACCEPT
31
$IPTABLES -t nat -P PREROUTING ACCEPT
32
$IPTABLES -t nat -P PREROUTING ACCEPT
32
$IPTABLES -t nat -P POSTROUTING ACCEPT
33
$IPTABLES -t nat -P POSTROUTING ACCEPT
33
$IPTABLES -t nat -P OUTPUT ACCEPT
34
$IPTABLES -t nat -P OUTPUT ACCEPT
34
 
35
 
35
# On efface toutes les chaînes qui ne sont pas par défaut dans les tables filter et nat
36
# On efface toutes les chaînes qui ne sont pas par défaut dans les tables filter et nat
36
$IPTABLES -X
37
$IPTABLES -X
37
$IPTABLES -t nat -X
38
$IPTABLES -t nat -X
38
 
39
 
39
# On autorise tout sur loopback
40
# On autorise tout sur loopback
40
$IPTABLES -A INPUT -i lo -j ACCEPT
41
$IPTABLES -A INPUT -i lo -j ACCEPT
41
 
42
 
42
# on autorise les requêtes dhcp
43
# on autorise les requêtes dhcp
43
$IPTABLES -A INPUT -i $INTIF -p udp -m udp --sport bootpc --dport bootps -j ACCEPT
44
$IPTABLES -A INPUT -i $INTIF -p udp -m udp --sport bootpc --dport bootps -j ACCEPT
44
 
45
 
45
# Règles d'antispoofing
46
# Règles d'antispoofing
46
$IPTABLES -A INPUT -i $INTIF ! -s $PRIVATE_NETWORK_MASK -j ULOG --ulog-prefix "RULE Antispoof1 -- DENY "
47
$IPTABLES -A INPUT -i $INTIF ! -s $PRIVATE_NETWORK_MASK -j ULOG --ulog-prefix "RULE Antispoof1 -- DENY "
47
$IPTABLES -A INPUT -i $INTIF ! -s $PRIVATE_NETWORK_MASK -j DROP
48
$IPTABLES -A INPUT -i $INTIF ! -s $PRIVATE_NETWORK_MASK -j DROP
48
$IPTABLES -A INPUT -i $EXTIF -s $PRIVATE_NETWORK_MASK -j ULOG --ulog-prefix "RULE Antispoof2 -- DENY "
49
$IPTABLES -A INPUT -i $EXTIF -s $PRIVATE_NETWORK_MASK -j ULOG --ulog-prefix "RULE Antispoof2 -- DENY "
49
$IPTABLES -A INPUT -i $EXTIF -s $PRIVATE_NETWORK_MASK -j DROP
50
$IPTABLES -A INPUT -i $EXTIF -s $PRIVATE_NETWORK_MASK -j DROP
50
 
51
 
51
# On drop le broadcast et le multicasat sur les interfaces (sans Log)
52
# On drop le broadcast et le multicasat sur les interfaces (sans Log)
52
$IPTABLES -A INPUT -m addrtype --dst-type BROADCAST,MULTICAST -j DROP
53
$IPTABLES -A INPUT -m addrtype --dst-type BROADCAST,MULTICAST -j DROP
53
 
54
 
54
# On autorise le ping dans les deux sens (icmp N°0 & 8) en provenance du LAN
55
# On autorise le ping dans les deux sens (icmp N°0 & 8) en provenance du LAN
55
$IPTABLES -A INPUT -i $INTIF -s $PRIVATE_NETWORK_MASK -p icmp --icmp-type 0 -j ACCEPT
56
$IPTABLES -A INPUT -i $INTIF -s $PRIVATE_NETWORK_MASK -p icmp --icmp-type 0 -j ACCEPT
56
$IPTABLES -A INPUT -i $INTIF -s $PRIVATE_NETWORK_MASK -p icmp --icmp-type 8 -j ACCEPT
57
$IPTABLES -A INPUT -i $INTIF -s $PRIVATE_NETWORK_MASK -p icmp --icmp-type 8 -j ACCEPT
57
 
58
 
58
#  On ajoute ici les règles spécifiques de filtrage réseau (accès exterieur ...)
59
#  On ajoute ici les règles spécifiques de filtrage réseau (accès exterieur ...)
59
if [ -f /usr/local/etc/alcasar-iptables-local.sh ]; then
60
if [ -f /usr/local/etc/alcasar-iptables-local.sh ]; then
60
        . /usr/local/etc/alcasar-iptables-local.sh
61
        . /usr/local/etc/alcasar-iptables-local.sh
61
fi
62
fi
62
 
63
 
63
# On autorise en FORWARD les connexions déjà établies
64
# On autorise en FORWARD les connexions déjà établies
64
$IPTABLES -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT
65
$IPTABLES -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT
65
 
66
 
66
# On autorise les demandes de connexions sortantes
67
# On autorise les demandes de connexions sortantes
67
$IPTABLES -A FORWARD -i $INTIF -m state --state NEW -j ULOG --ulog-prefix "RULE Transfert -- ACCEPT "
68
$IPTABLES -A FORWARD -i $INTIF -m state --state NEW -j ULOG --ulog-prefix "RULE Transfert -- ACCEPT "
68
$IPTABLES -A FORWARD -i $INTIF -m state --state NEW -j ACCEPT
69
$IPTABLES -A FORWARD -i $INTIF -m state --state NEW -j ACCEPT
69
 
70
 
70
# On autorise les flux entrant ntp, dns et ssh via INTIF
71
# On autorise les flux entrant ntp, dns et ssh via INTIF
71
$IPTABLES -A INPUT -i $INTIF -d $PRIVATE_IP -p udp --dport domain -j ACCEPT
72
$IPTABLES -A INPUT -i $INTIF -d $PRIVATE_IP -p udp --dport domain -j ACCEPT
72
$IPTABLES -A INPUT -i $INTIF -d $PRIVATE_IP -p udp --dport ntp -j ACCEPT
73
$IPTABLES -A INPUT -i $INTIF -d $PRIVATE_IP -p udp --dport ntp -j ACCEPT
73
$IPTABLES -A INPUT -i $INTIF -d $PRIVATE_IP -p tcp --dport ssh -j ACCEPT
74
$IPTABLES -A INPUT -i $INTIF -d $PRIVATE_IP -p tcp --dport ssh -j ACCEPT
74
 
75
 
75
# On autorise le retour des connexions entrante déjà acceptées
76
# On autorise le retour des connexions entrante déjà acceptées
76
$IPTABLES -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
77
$IPTABLES -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
77
 
78
 
78
# On interdit et on log le reste sur les 2 interfaces d'accès
79
# On interdit et on log le reste sur les 2 interfaces d'accès
79
$IPTABLES -A INPUT -i $INTIF -j ULOG --ulog-prefix "RULE rej-int -- REJECT "
80
$IPTABLES -A INPUT -i $INTIF -j ULOG --ulog-prefix "RULE rej-int -- REJECT "
80
$IPTABLES -A INPUT -i $EXTIF -j ULOG --ulog-prefix "RULE rej-ext -- REJECT "
81
$IPTABLES -A INPUT -i $EXTIF -j ULOG --ulog-prefix "RULE rej-ext -- REJECT "
81
$IPTABLES -A INPUT -p tcp -j REJECT --reject-with tcp-reset
82
$IPTABLES -A INPUT -p tcp -j REJECT --reject-with tcp-reset
82
$IPTABLES -A INPUT -p udp -j REJECT --reject-with icmp-port-unreachable
83
$IPTABLES -A INPUT -p udp -j REJECT --reject-with icmp-port-unreachable
83
 
84
 
84
# On active le masquage d'adresse par translation (NAT)
85
# On active le masquage d'adresse par translation (NAT)
85
$IPTABLES -A POSTROUTING -t nat -o $EXTIF -j MASQUERADE
86
$IPTABLES -A POSTROUTING -t nat -o $EXTIF -j MASQUERADE
86
 
87
 
87
/etc/init.d/iptables save
88
/etc/init.d/iptables save
88
# Fin du script des regles du parefeu
89
# Fin du script des regles du parefeu
89
 
90
 
90
 
91
 
91

Generated by GNU Enscript 1.6.6.
92

Generated by GNU Enscript 1.6.6.
92
 
93
 
93
 
94
 
94
 
95