WebSVN – ALCASAR – Diff – /scripts/alcasar-iptables-bypass.sh


#!/bin/sh
# $Id: alcasar-iptables-bypass.sh 321 2010-11-16 21:48:38Z franck $
 
# script d'initialisation des regles du parefeu en mode ByPass
# Rexy - 3abtux
# version 2.0 - 12/2010
# changelog :
#	+ Prise en compte de regles locales
# 	+ prise en compte optionnelle d'un fichier iptables 'personnel' permettant de bloquer certains flux/services
#	+ suppression log vers syslog
#	+ suppression du broadcast et du multicast sur les interfaces
 
IPTABLES="/sbin/iptables"
 
EXTIF="eth0"
INTIF="eth1"
PRIVATE_NETWORK_MASK="192.168.182.0/24"
 
# On vide (flush) toutes les règles existantes
$IPTABLES -F
$IPTABLES -t nat -F
$IPTABLES -F INPUT
$IPTABLES -F FORWARD
$IPTABLES -F OUTPUT
 
# On indique les politiques par défaut
$IPTABLES -P INPUT DROP
$IPTABLES -P FORWARD DROP
$IPTABLES -P OUTPUT ACCEPT
$IPTABLES -t nat -P PREROUTING ACCEPT
$IPTABLES -t nat -P POSTROUTING ACCEPT
$IPTABLES -t nat -P OUTPUT ACCEPT
 
# On efface toutes les chaînes qui ne sont pas par défaut dans les tables filter et nat
$IPTABLES -X
$IPTABLES -t nat -X
 
# On autorise tout sur loopback
$IPTABLES -A INPUT -i lo -j ACCEPT
 
# on autorise les requêtes dhcp
$IPTABLES -A INPUT -i $INTIF -p udp -m udp --sport bootpc --dport bootps -j ACCEPT
 
#  On ajoute ici les règles spécifiques de filtrage réseau
if [ -f /usr/local/etc/alcasar-iptables-local.sh ]; then
        . /usr/local/etc/alcasar-iptables-local.sh
fi
 
# Règles d'antispoofing
$IPTABLES -A INPUT -i $INTIF ! -s $PRIVATE_NETWORK_MASK -j ULOG --ulog-prefix "RULE Antispoof1 -- DENY "
$IPTABLES -A INPUT -i $INTIF ! -s $PRIVATE_NETWORK_MASK -j DROP
$IPTABLES -A INPUT -i $EXTIF -s $PRIVATE_NETWORK_MASK -j ULOG --ulog-prefix "RULE Antispoof2 -- DENY "
$IPTABLES -A INPUT -i $EXTIF -s $PRIVATE_NETWORK_MASK -j DROP
 
# On drop le broadcast et le multicasat sur les interfaces (sans Log)
$IPTABLES -A INPUT -m addrtype --dst-type BROADCAST,MULTICAST -j DROP
 
# On autorise le ping dans les deux sens (icmp N°0 & 8) en provenance du LAN
$IPTABLES -A INPUT -i $INTIF -s $PRIVATE_NETWORK_MASK -p icmp --icmp-type 0 -j ACCEPT
$IPTABLES -A INPUT -i $INTIF -s $PRIVATE_NETWORK_MASK -p icmp --icmp-type 8 -j ACCEPT
 
# On autorise le tranfert des requête DNS (sans LOG)
$IPTABLES -A FORWARD -i $INTIF -p udp --dport  domain -j ACCEPT
 
# On autorise le flux dans les deux sens (avec Log sur les demandes de connexion).
$IPTABLES -A FORWARD -i $INTIF -m state --state NEW -j ULOG --ulog-prefix "RULE Transfert -- ACCEPT "
$IPTABLES -A FORWARD -i $INTIF -m state --state NEW -j ACCEPT
$IPTABLES -A FORWARD -i $INTIF -m state --state RELATED,ESTABLISHED -j ACCEPT
$IPTABLES -A FORWARD -o $INTIF -m state --state RELATED,ESTABLISHED -j ACCEPT
 
# On autorise les flux entrant ntp et ssh via INTIF
$IPTABLES -A INPUT -i $INTIF -p udp --dport ntp -j ACCEPT
$IPTABLES -A INPUT -i $INTIF -p tcp --dport ssh -j ACCEPT
 
# On autorise les flux entrant des connexions déjà établies (ping à partir du portail par exemple)
$IPTABLES -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
 
# On interdit et on log le reste sur les 2 interfaces d'accès
$IPTABLES -A INPUT -i $INTIF -j ULOG --ulog-prefix "RULE rej-int -- REJECT "
$IPTABLES -A INPUT -i $EXTIF -j ULOG --ulog-prefix "RULE rej-ext -- REJECT "
$IPTABLES -A INPUT -p tcp -j REJECT --reject-with tcp-reset
$IPTABLES -A INPUT -p udp -j REJECT --reject-with icmp-port-unreachable
 
# On active le masquage d'adresse par translation (NAT)
$IPTABLES -A POSTROUTING -t nat -o $EXTIF -j MASQUERADE
 
/etc/init.d/iptables save
# Fin du script des regles du parefeu
 
 
Generated by GNU Enscript 1.6.6.
 
 
 

Subversion Repositories ALCASAR

(root)/scripts/alcasar-iptables-bypass.sh @ 2691 – Rev 64 → 321

Rev 64		Rev 321
1	`#!/bin/sh`	1	`#!/bin/sh`
2	`# $Id: alcasar-iptables-bypass.sh 64 2010-04-08 20:01:24Z franck $`	2	`# $Id: alcasar-iptables-bypass.sh 321 2010-11-16 21:48:38Z franck $`
3		3
4	`# script d'initialisation des regles du parefeu en mode ByPass`	4	`# script d'initialisation des regles du parefeu en mode ByPass`
5	`# Rexy - 3abtux`	5	`# Rexy - 3abtux`
6	`# version 1.8 - 12/2009`	6	`# version 2.0 - 12/2010`
7	`# changelog :`	7	`# changelog :`
-		8	`# + Prise en compte de regles locales`
8	`# + prise en compte optionnelle d'un fichier iptables 'personnel' permettant de bloquer certains flux/services`	9	`# + prise en compte optionnelle d'un fichier iptables 'personnel' permettant de bloquer certains flux/services`
9	`# + suppression log vers syslog`	10	`# + suppression log vers syslog`
10	`# + suppression du broadcast et du multicast sur les interfaces`	11	`# + suppression du broadcast et du multicast sur les interfaces`
11		12
12	`IPTABLES="/sbin/iptables"`	13	`IPTABLES="/sbin/iptables"`
13		14
14	`EXTIF="eth0"`	15	`EXTIF="eth0"`
15	`INTIF="eth1"`	16	`INTIF="eth1"`
16	`PRIVATE_NETWORK_MASK="192.168.182.0/24"`	17	`PRIVATE_NETWORK_MASK="192.168.182.0/24"`
17		18
18	`# On vide (flush) toutes les règles existantes`	19	`# On vide (flush) toutes les règles existantes`
19	`$IPTABLES -F`	20	`$IPTABLES -F`
20	`$IPTABLES -t nat -F`	21	`$IPTABLES -t nat -F`
21	`$IPTABLES -F INPUT`	22	`$IPTABLES -F INPUT`
22	`$IPTABLES -F FORWARD`	23	`$IPTABLES -F FORWARD`
23	`$IPTABLES -F OUTPUT`	24	`$IPTABLES -F OUTPUT`
24		25
25	`# On indique les politiques par défaut`	26	`# On indique les politiques par défaut`
26	`$IPTABLES -P INPUT DROP`	27	`$IPTABLES -P INPUT DROP`
27	`$IPTABLES -P FORWARD DROP`	28	`$IPTABLES -P FORWARD DROP`
28	`$IPTABLES -P OUTPUT ACCEPT`	29	`$IPTABLES -P OUTPUT ACCEPT`
29	`$IPTABLES -t nat -P PREROUTING ACCEPT`	30	`$IPTABLES -t nat -P PREROUTING ACCEPT`
30	`$IPTABLES -t nat -P POSTROUTING ACCEPT`	31	`$IPTABLES -t nat -P POSTROUTING ACCEPT`
31	`$IPTABLES -t nat -P OUTPUT ACCEPT`	32	`$IPTABLES -t nat -P OUTPUT ACCEPT`
32		33
33	`# On efface toutes les chaînes qui ne sont pas par défaut dans les tables filter et nat`	34	`# On efface toutes les chaînes qui ne sont pas par défaut dans les tables filter et nat`
34	`$IPTABLES -X`	35	`$IPTABLES -X`
35	`$IPTABLES -t nat -X`	36	`$IPTABLES -t nat -X`
36		37
37	`# On autorise tout sur loopback`	38	`# On autorise tout sur loopback`
38	`$IPTABLES -A INPUT -i lo -j ACCEPT`	39	`$IPTABLES -A INPUT -i lo -j ACCEPT`
39		40
40	`# on autorise les requêtes dhcp`	41	`# on autorise les requêtes dhcp`
41	`$IPTABLES -A INPUT -i $INTIF -p udp -m udp --sport bootpc --dport bootps -j ACCEPT`	42	`$IPTABLES -A INPUT -i $INTIF -p udp -m udp --sport bootpc --dport bootps -j ACCEPT`
42		43
-		44	`# On ajoute ici les règles spécifiques de filtrage réseau`
-		45	`if [ -f /usr/local/etc/alcasar-iptables-local.sh ]; then`
-		46	`. /usr/local/etc/alcasar-iptables-local.sh`
-		47	`fi`
-		48
43	`# Règles d'antispoofing`	49	`# Règles d'antispoofing`
44	`$IPTABLES -A INPUT -i $INTIF ! -s $PRIVATE_NETWORK_MASK -j ULOG --ulog-prefix "RULE Antispoof1 -- DENY "`	50	`$IPTABLES -A INPUT -i $INTIF ! -s $PRIVATE_NETWORK_MASK -j ULOG --ulog-prefix "RULE Antispoof1 -- DENY "`
45	`$IPTABLES -A INPUT -i $INTIF ! -s $PRIVATE_NETWORK_MASK -j DROP`	51	`$IPTABLES -A INPUT -i $INTIF ! -s $PRIVATE_NETWORK_MASK -j DROP`
46	`$IPTABLES -A INPUT -i $EXTIF -s $PRIVATE_NETWORK_MASK -j ULOG --ulog-prefix "RULE Antispoof2 -- DENY "`	52	`$IPTABLES -A INPUT -i $EXTIF -s $PRIVATE_NETWORK_MASK -j ULOG --ulog-prefix "RULE Antispoof2 -- DENY "`
47	`$IPTABLES -A INPUT -i $EXTIF -s $PRIVATE_NETWORK_MASK -j DROP`	53	`$IPTABLES -A INPUT -i $EXTIF -s $PRIVATE_NETWORK_MASK -j DROP`
48		54
49	`# On drop le broadcast et le multicasat sur les interfaces (sans Log)`	55	`# On drop le broadcast et le multicasat sur les interfaces (sans Log)`
50	`$IPTABLES -A INPUT -m addrtype --dst-type BROADCAST,MULTICAST -j DROP`	56	`$IPTABLES -A INPUT -m addrtype --dst-type BROADCAST,MULTICAST -j DROP`
51		57
52	`# On autorise le ping dans les deux sens (icmp N°0 & 8) en provenance du LAN`	58	`# On autorise le ping dans les deux sens (icmp N°0 & 8) en provenance du LAN`
53	`$IPTABLES -A INPUT -i $INTIF -s $PRIVATE_NETWORK_MASK -p icmp --icmp-type 0 -j ACCEPT`	59	`$IPTABLES -A INPUT -i $INTIF -s $PRIVATE_NETWORK_MASK -p icmp --icmp-type 0 -j ACCEPT`
54	`$IPTABLES -A INPUT -i $INTIF -s $PRIVATE_NETWORK_MASK -p icmp --icmp-type 8 -j ACCEPT`	60	`$IPTABLES -A INPUT -i $INTIF -s $PRIVATE_NETWORK_MASK -p icmp --icmp-type 8 -j ACCEPT`
55		61
56	`# On autorise le tranfert des requête DNS (sans LOG)`	62	`# On autorise le tranfert des requête DNS (sans LOG)`
57	`$IPTABLES -A FORWARD -i $INTIF -p udp --dport domain -j ACCEPT`	63	`$IPTABLES -A FORWARD -i $INTIF -p udp --dport domain -j ACCEPT`
58		64
59	`# On autorise le flux dans les deux sens (avec Log sur les demandes de connexion).`	65	`# On autorise le flux dans les deux sens (avec Log sur les demandes de connexion).`
60	`$IPTABLES -A FORWARD -i $INTIF -m state --state NEW -j ULOG --ulog-prefix "RULE Transfert -- ACCEPT "`	66	`$IPTABLES -A FORWARD -i $INTIF -m state --state NEW -j ULOG --ulog-prefix "RULE Transfert -- ACCEPT "`
61	`$IPTABLES -A FORWARD -i $INTIF -m state --state NEW -j ACCEPT`	67	`$IPTABLES -A FORWARD -i $INTIF -m state --state NEW -j ACCEPT`
62	`$IPTABLES -A FORWARD -i $INTIF -m state --state RELATED,ESTABLISHED -j ACCEPT`	68	`$IPTABLES -A FORWARD -i $INTIF -m state --state RELATED,ESTABLISHED -j ACCEPT`
63	`$IPTABLES -A FORWARD -o $INTIF -m state --state RELATED,ESTABLISHED -j ACCEPT`	69	`$IPTABLES -A FORWARD -o $INTIF -m state --state RELATED,ESTABLISHED -j ACCEPT`
64		70
65	`# On autorise les flux entrant ntp et ssh via INTIF`	71	`# On autorise les flux entrant ntp et ssh via INTIF`
66	`$IPTABLES -A INPUT -i $INTIF -p udp --dport ntp -j ACCEPT`	72	`$IPTABLES -A INPUT -i $INTIF -p udp --dport ntp -j ACCEPT`
67	`$IPTABLES -A INPUT -i $INTIF -p tcp --dport ssh -j ACCEPT`	73	`$IPTABLES -A INPUT -i $INTIF -p tcp --dport ssh -j ACCEPT`
68		74
69	`# On autorise les flux entrant des connexions déjà établies (ping à partir du portail par exemple)`	75	`# On autorise les flux entrant des connexions déjà établies (ping à partir du portail par exemple)`
70	`$IPTABLES -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT`	76	`$IPTABLES -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT`
71		77
72	`# On interdit et on log le reste sur les 2 interfaces d'accès`	78	`# On interdit et on log le reste sur les 2 interfaces d'accès`
73	`$IPTABLES -A INPUT -i $INTIF -j ULOG --ulog-prefix "RULE rej-int -- REJECT "`	79	`$IPTABLES -A INPUT -i $INTIF -j ULOG --ulog-prefix "RULE rej-int -- REJECT "`
74	`$IPTABLES -A INPUT -i $EXTIF -j ULOG --ulog-prefix "RULE rej-ext -- REJECT "`	80	`$IPTABLES -A INPUT -i $EXTIF -j ULOG --ulog-prefix "RULE rej-ext -- REJECT "`
75	`$IPTABLES -A INPUT -p tcp -j REJECT --reject-with tcp-reset`	81	`$IPTABLES -A INPUT -p tcp -j REJECT --reject-with tcp-reset`
76	`$IPTABLES -A INPUT -p udp -j REJECT --reject-with icmp-port-unreachable`	82	`$IPTABLES -A INPUT -p udp -j REJECT --reject-with icmp-port-unreachable`
77		83
78	`# On active le masquage d'adresse par translation (NAT)`	84	`# On active le masquage d'adresse par translation (NAT)`
79	`$IPTABLES -A POSTROUTING -t nat -o $EXTIF -j MASQUERADE`	85	`$IPTABLES -A POSTROUTING -t nat -o $EXTIF -j MASQUERADE`
80		86
81	`/etc/init.d/iptables save`	87	`/etc/init.d/iptables save`
82	`# Fin du script des regles du parefeu`	88	`# Fin du script des regles du parefeu`
83		89
84		90
85	`Generated by GNU Enscript 1.6.6.`	91	`Generated by GNU Enscript 1.6.6.`
86		92
87		93
88		94