Forum Debian Users Gang

#!/bin/bash

# interfejsy
LO_IFACE="lo"
WAN_IFACE="eth0"
LAN_IFACE="eth1"
WAN_IP=`ifconfig $WAN_IFACE | grep inet | cut -d : -f 2 | cut -d ' ' -f 1`
LAN_IP=`ifconfig $LAN_IFACE | grep inet | cut -d : -f 2 | cut -d ' ' -f 1`

#adresy IP
LO_IP="127.0.0.1"

# ścieżka do iptables
IPTABLES="/usr/sbin/iptables"

# Wlaczenie mechanizmu wykrywania oczywistych falszerstw
echo "1" > /proc/sys/net/ipv4/conf/all/rp_filter

# Ochrona przed atakiem typu Smurf
echo "0" > /proc/sys/net/ipv4/icmp_echo_ignore_broadcasts

# Nie aktceptujemy pakietow "source route"
echo "0" > /proc/sys/net/ipv4/conf/all/accept_source_route

# Nie przyjmujemy pakietow ICMP rediect, ktore moga zmienic tablice routingu
echo "0" > /proc/sys/net/ipv4/conf/all/accept_redirects

# Wlaczamy ochrone przed blednymi komunikatami ICMP error
echo "1" > /proc/sys/net/ipv4/icmp_ignore_bogus_error_responses

# Wlacza logowanie dziwnych (spoofed, source routed, redirects) pakietow
echo "1" > /proc/sys/net/ipv4/conf/all/log_martians

# Limitowanie sesji tcp
echo "30" > /proc/sys/net/ipv4/tcp_fin_timeout
echo "2400" > /proc/sys/net/ipv4/tcp_keepalive_time
echo "0" > /proc/sys/net/ipv4/tcp_window_scaling
echo "0" > /proc/sys/net/ipv4/tcp_sack
echo "20" > /proc/sys/net/ipv4/ipfrag_time
echo "1280" > /proc/sys/net/ipv4/tcp_max_syn_backlog

# TCP timestamps protection
echo "1" > /proc/sys/net/ipv4/tcp_timestamps

# Ignore redirected packets
echo "0" > /proc/sys/net/ipv4/conf/all/send_redirects

# uruchomienie przekazywania pakietow IP miedzy interfejsami
echo "1" > /proc/sys/net/ipv4/ip_forward

# uniemożliwia udostepnianie netu dalej
echo "1" > /proc/sys/net/ipv4/ip_default_ttl
#$IPTABLES -t mangle -A PREROUTING -i ${LAN_IFACE} -j TTL --ttl-set 1

# czyszczenie regul
$IPTABLES -F
$IPTABLES -t nat -F
$IPTABLES -t mangle -F

$IPTABLES -X
$IPTABLES -t nat -X
$IPTABLES -t mangle -X

# ustawienie polityk na DROP
$IPTABLES -P INPUT DROP
$IPTABLES -P FORWARD DROP
$IPTABLES -P OUTPUT ACCEPT

$IPTABLES -A INPUT -i ${LO_IFACE} -j ACCEPT
$IPTABLES -A FORWARD -o ${LO_IFACE} -j ACCEPT

# Polaczenia nawiazane
$IPTABLES -A INPUT -j ACCEPT -m state --state ESTABLISHED,RELATED
$IPTABLES -A FORWARD -j ACCEPT -m state --state ESTABLISHED,RELATED
$IPTABLES -A OUTPUT -j ACCEPT -m state --state ESTABLISHED,RELATED

#TTL Ukrycie naszej maskarady
$IPTABLES -t mangle -A POSTROUTING -j TTL --ttl-set 64
$IPTABLES -t mangle -A FORWARD -j TTL --ttl-set 64
$IPTABLES -t mangle -A PREROUTING -j TTL --ttl-set 64

# Squid przekierowanie
#$IPTABLES -t nat -I PREROUTING -s ${LAN_IP_RANGE} -p tcp --dport 80 -j REDIRECT --to-port 8080

# zezwolenie na pingowanie
$IPTABLES -A INPUT -p icmp --icmp-type echo-request -m limit --limit 6/minute -j ACCEPT

#Zabezpieczenie skanowania routera
$IPTABLES -A INPUT -p tcp ! --syn -m state --state NEW -j LOG --log-level debug --log-prefix 'SCAN: '
$IPTABLES -A INPUT -p tcp ! --syn -m state --state NEW -j DROP


# otwarcie portow
$IPTABLES -A INPUT -s 0/0 -d $WAN_IP -p tcp --dport 22 -j ACCEPT
$IPTABLES -A OUTPUT -s 0/0 -d $WAN_IP -p tcp --dport 22 -j ACCEPT

# przekierowanie portow
$IPTABLES -A INPUT -p tcp --dport 9000 -j ACCEPT
$IPTABLES -t nat -A PREROUTING -i $WAN_IFACE -p tcp --dport 9000 -j DNAT --to 10.0.1.2:9000
$IPTABLES -I FORWARD -i $WAN_IFACE -p tcp --dport 9000 -j ACCEPT

# maskarada
$IPTABLES -t nat -A POSTROUTING -s 10.0.1.2/255.255.255.0 -j MASQUERADE
$IPTABLES -A FORWARD -m mac --mac-source 00:00:00:.... -j ACCEPT

# p2p block
$IPTABLES -t mangle -A PREROUTING -s 10.0.1.2/255.255.255.0 -m layer7 --l7proto edonkey -m time --timestart 09:00 --timestop 01:00 -j DROP
$IPTABLES -t mangle -A PREROUTING -d 10.0.1.2/255.255.255.0 -m layer7 --l7proto edonkey -m time --timestart 09:00 --timestop 01:00 -j DROP

$IPTABLES -t mangle -A PREROUTING -s 10.0.1.2/255.255.255.0 -m ipp2p --ipp2p -m time --timestart 09:00 --timestop 01:00 -j DROP