Forum Debian Users Gang

#!/bin/bash
F="/sbin/iptables"
M="/sbin/modprobe"
LOG="ipt#"
L="listaon"
#interfejs globalny - dla sieci zewnetrznej
G_NET_NAME="eth0"
G_NET_IP="192.168.1.246"

# No spoofing
#ignorowanie ICMP echo request wysylanych na adres rozgloszeniowy
echo "1" > /proc/sys/net/ipv4/icmp_echo_ignore_broadcasts

#ochrona przed SYN flood
echo "1" > /proc/sys/net/ipv4/tcp_syncookies

#refuse source routed packets
echo "0" > /proc/sys/net/ipv4/conf/all/accept_source_route

echo "1" > /proc/sys/net/ipv4/conf/all/secure_redirects

#walidacja zrodla za pomoca reversed path (RFC1812).
echo "1" > /proc/sys/net/ipv4/conf/all/rp_filter

#logowanie pakietow z nieprawidlowych adresow
echo "1" > /proc/sys/net/ipv4/conf/all/log_martians

#Blokada ICMP
#cho 1 > /proc/sys/net/ipv4/icmp_echo_ignore_all
#cho 1 > /proc/sys/net/ipv4/icmp_echo_ignore_broadcasts
#ICM ODPORNE NA ATAK
$F -A INPUT -p ICMP -s 0/0 --icmp-type 8 -j DROP
$F -A INPUT -p ICMP -s 0/0 --icmp-type 11 -j ACCEPT
#WGRYWAMY MODULY
$M ip_tables
$M ip_nat_ftp
$M iptable_filter
$M ip_conntrack_ftp

# CZYSZCZENIE REGOL
$F -F
# first set the default behaviour => accept connections
$F -P INPUT DROP
$F -P OUTPUT ACCEPT
$F -P FORWARD ACCEPT
$F -A INPUT -j LOG -m limit --limit 15/h --log-prefix '**IPTAB**' --log-level 4            # 15 logów na godzine
$F -A OUTPUT -j LOG -m limit --limit 15/h --log-prefix '**IPTAB**' --log-level 4
$F -A FORWARD -j LOG -m limit --limit 15/h --log-prefix '**IPTAB**' --log-level 4

# ZESTAWIONE POLACZENIA PODTRZYMUJEMY
$F -A INPUT -i $G_NET_NAME -m state --state ESTABLISHED,RELATED -j ACCEPT
# PETLA ZWROTNA LO DOPUSZCZONA
$F -A INPUT -i lo -j ACCEPT

# DOPUSZCZONE SERWISY
# HTTP HTTPCACHE
$F -A INPUT -s 0/0 -p tcp --dport 80:8080 -j ACCEPT
#HTTPS
$F -A INPUT -s 0/0 -p tcp --dport 443 -j ACCEPT
#SSH Z BLOKOWANIEM PO 3 PROBACH NA 60 sek
$F -A INPUT -s 0/0 -p tcp --dport 22 -j ACCEPT
$F -I INPUT -p tcp --dport 22 -i $G_NET_NAME -m state --state NEW -m recent --set
$F -I INPUT -p tcp --dport 22 -i $G_NET_NAME -m state --state NEW -m recent --update --second 60 --hitcount 3 -j DROP
$F -I INPUT -p tcp --dport 22 -i $G_NET_NAME -m state --state NEW -m recent --update --second 60 --hitcount 3 -j LOG --log-prefix '**SSH HACK **'
#MYSQL DOPUSZCZ JESLI BYL W PLIKU
for i in `cat $L |cut -d ' ' -f 1`; do
       $F -A INPUT -s $i -p tcp --dport 3306 -j ACCEPT
done;
#POSTGRESQL
for i in `cat $L |cut -d ' ' -f 1`; do
       $F -A INPUT -s $i -p tcp --dport 5432 -j ACCEPT
done;
#FTP
#$F -A INPUT -p tcp -s 0/0 --source-port 20:21 -j ACCEPT
#FTP PASSIV
#F -A INPUT -p tcp -s 0/0 --destination-port 62000:64000 -j ACCEPT
# End message
echo "Firewall .... OK"

$F -A INPUT -i $G_NET_NAME -m state --state ESTABLISHED,RELATED -j ACCEPT