Subversion Repositories ALCASAR

Rev

Rev 321 | Rev 362 | Go to most recent revision | Show entire file | Ignore whitespace | Details | Blame | Last modification | View Log

Rev 321 Rev 349
Line 1... Line 1...
1 
#!/bin/sh
 1 
#!/bin/sh
2 
# $Id: alcasar-iptables-bypass.sh 321 2010-11-16 21:48:38Z franck $
 2 
# $Id: alcasar-iptables-bypass.sh 349 2010-11-29 21:31:09Z franck $
3 
 
 3 
 
4 
# script d'initialisation des regles du parefeu en mode ByPass
 4 
# script d'initialisation des regles du parefeu en mode ByPass
5 
# Rexy - 3abtux
 5 
# Rexy - 3abtux
6 
# version 2.0 - 12/2010
 6 
# version 2.0 - 12/2010
7 
# changelog :
 7 
# changelog :
Line 59... Line 59...
59 
$IPTABLES -A INPUT -i $INTIF -s $PRIVATE_NETWORK_MASK -p icmp --icmp-type 0 -j ACCEPT
 59 
$IPTABLES -A INPUT -i $INTIF -s $PRIVATE_NETWORK_MASK -p icmp --icmp-type 0 -j ACCEPT
60 
$IPTABLES -A INPUT -i $INTIF -s $PRIVATE_NETWORK_MASK -p icmp --icmp-type 8 -j ACCEPT
 60 
$IPTABLES -A INPUT -i $INTIF -s $PRIVATE_NETWORK_MASK -p icmp --icmp-type 8 -j ACCEPT
61 
 
 61 
 
62 
# On autorise le tranfert des requête DNS (sans LOG)
 62 
# On autorise le tranfert des requête DNS (sans LOG)
63 
$IPTABLES -A FORWARD -i $INTIF -p udp --dport  domain -j ACCEPT
 63 
$IPTABLES -A FORWARD -i $INTIF -p udp --dport  domain -j ACCEPT
- 
 
 64 
$IPTABLES -A FORWARD -i $INTIF -p tcp --dport  domain -j ACCEPT
- 
 
 65 
# On autorise les requêtes DNS sur le portail (sans LOG)
- 
 
 66 
$IPTABLES -A INPUT -i $INTIF -p udp --dport  domain -j ACCEPT
- 
 
 67 
$IPTABLES -A INPUT -i $INTIF -p tcp --dport  domain -j ACCEPT
64 
 
 68 
 
65 
# On autorise le flux dans les deux sens (avec Log sur les demandes de connexion).
 69 
# On autorise le flux dans les deux sens (avec Log sur les demandes de connexion).
66 
$IPTABLES -A FORWARD -i $INTIF -m state --state NEW -j ULOG --ulog-prefix "RULE Transfert -- ACCEPT "
 70 
$IPTABLES -A FORWARD -i $INTIF -m state --state NEW -j ULOG --ulog-prefix "RULE Transfert -- ACCEPT "
67 
$IPTABLES -A FORWARD -i $INTIF -m state --state NEW -j ACCEPT
 71 
$IPTABLES -A FORWARD -i $INTIF -m state --state NEW -j ACCEPT
68 
$IPTABLES -A FORWARD -i $INTIF -m state --state RELATED,ESTABLISHED -j ACCEPT
 72 
$IPTABLES -A FORWARD -i $INTIF -m state --state RELATED,ESTABLISHED -j ACCEPT
Line 79... Line 83...
79 
$IPTABLES -A INPUT -i $INTIF -j ULOG --ulog-prefix "RULE rej-int -- REJECT "
 83 
$IPTABLES -A INPUT -i $INTIF -j ULOG --ulog-prefix "RULE rej-int -- REJECT "
80 
$IPTABLES -A INPUT -i $EXTIF -j ULOG --ulog-prefix "RULE rej-ext -- REJECT "
 84 
$IPTABLES -A INPUT -i $EXTIF -j ULOG --ulog-prefix "RULE rej-ext -- REJECT "
81 
$IPTABLES -A INPUT -p tcp -j REJECT --reject-with tcp-reset
 85 
$IPTABLES -A INPUT -p tcp -j REJECT --reject-with tcp-reset
82 
$IPTABLES -A INPUT -p udp -j REJECT --reject-with icmp-port-unreachable
 86 
$IPTABLES -A INPUT -p udp -j REJECT --reject-with icmp-port-unreachable
83 
 
 87 
 
- 
 
 88 
# On redirige les requêtes DNS sortantes sur BIND local
- 
 
 89 
# log DNS query present dans log du service BIND query.log --> pas de log dans firewall.log
- 
 
 90 
#$IPTABLES -A PREROUTING -t nat -i $TUNIF -p udp ! -d $PRIVATE_IP -m udp --dport domain -j ULOG --ulog-prefix "RULE direct-DNS -- REDIRECT "
- 
 
 91 
$IPTABLES -A PREROUTING -t nat -i $TUNIF -p udp ! -d $PRIVATE_IP --dport domain -j REDIRECT --to-port domain
- 
 
 92 
#$IPTABLES -A PREROUTING -t nat -i $TUNIF -p tcp ! -d $PRIVATE_IP -m tcp --dport domain -j ULOG --ulog-prefix "RULE direct-DNS -- REDIRECT "
- 
 
 93 
$IPTABLES -A PREROUTING -t nat -i $TUNIF -p tcp ! -d $PRIVATE_IP --dport domain -j REDIRECT --to-port domain
- 
 
 94 
 
84 
# On active le masquage d'adresse par translation (NAT)
 95 
# On active le masquage d'adresse par translation (NAT)
85 
$IPTABLES -A POSTROUTING -t nat -o $EXTIF -j MASQUERADE
 96 
$IPTABLES -A POSTROUTING -t nat -o $EXTIF -j MASQUERADE
86 
 
 97 
 
87 
/etc/init.d/iptables save
 98 
/etc/init.d/iptables save
88 
# Fin du script des regles du parefeu
 99 
# Fin du script des regles du parefeu