Forum Debian Users Gang

iptables -N LAN
iptables -N WAN

iptables -A LAN -s 0/0 -p tcp --dport 80 -j ACCEPT
iptables -A LAN -s 0/0 -p udp --dport 80 -j ACCEPT
iptables -A LAN -s 0/0 -p udp --dport 53 -j ACCEPT
iptables -A LAN -s 0/0 -p tcp --dport 443 -j ACCEPT
iptables -A LAN -s 0/0 -p tcp --dport 20 -j ACCEPT
iptables -A LAN -s 0/0 -p tcp --dport 21 -j ACCEPT
iptables -A LAN -s 0/0 -p tcp --dport 6000:6500 -j ACCEPT
itd
465,25,993,995,110,22,8074,54534

ifconfig eth0:1 195.205.121.129 broadcast 195.205.121.143 netmask 255.255.255.240 up
ip route add 195.205.121.129 via 10.0.0.1

Na komputerze klienta przypisujemy ip 195.205.121.129, maske
255.255.255.240, bramke 10.0.0.1:

ifconfig eth0 195.205.121.129 netmask 255.255.255.240 broadcast 195.205.121.143 up
route add default gw 10.0.0.1

-I FORWARD -s 10.0.1.0/24 -p tcp --dport 80 -j ACCEP

-A FORWARD -s 10.0.1.0/24 -p tcp --dport 80 -j ACCEP

iptables -I FORWARD -i eth1 -d 10.0.1.0/24 -j DROP
iptables -A FORWARD -i eth1 -s 10.0.1.0/24 -j ACCEPT
iptables -A FORWARD -i eth0 -d 10.0.1.0/24 -j ACCEPT

#!/bin/bash

### ZMIENNE
WAN="eth0"
LAN="eth1"
IPWAN="80.50.4.146"
IPWAN2=""
IPWAN3=""
IPLAN="10.0.1.1"
CLAN="10.0.1.0/24"
F="/sbin/iptables"
M="/sbin/modprobe"
TIM="1800"
COUNT="3"
## PODSTAWOWA USTAWIENIA ZAWSZE WCZYTYWANE
$M ip_tables
$M ip_nat_ftp
$M iptable_filter
$M ip_conntrack_ftp
# ochrona przed atakiem typu Smurf
echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_broadcasts
# nie akceptujemy pakietow "source route" (zmieniaja tablice routingu)
echo 0 > /proc/sys/net/ipv4/conf/all/accept_source_route
# nie przyjmujemy pakietow ICMP redirect, ktore moga zmienic nasza tablice routingu
echo 0 > /proc/sys/net/ipv4/conf/all/accept_redirects
# wlaczamy ochrone przed blednymi pakietami ICMP error
echo 1 > /proc/sys/net/ipv4/icmp_ignore_bogus_error_responses
# ochrona przed spoofingiem -kazdy interfejs sieciowy bedzie przyjmowal
# tylko te pakiety ktore znajduja sie w tablicy routingu
echo 1 > /proc/sys/net/ipv4/conf/all/rp_filter
# wlacza logowanie dziwnych (spoofed, source routed, redirects) pakietow
echo 1 > /proc/sys/net/ipv4/conf/all/log_martians
#Blokada przed atakami typu SYN FLOODING
echo 1 > /proc/sys/net/ipv4/tcp_syncookies
# KOCHANY FORWARD
echo 1 > /proc/sys/net/ipv4/ip_forward

case "$1" in
"stop")
$F -F
$F -t nat -F
$F -P FORWARD ACCEPT
$F -P INPUT ACCEPT
$F -P OUTPUT ACCEPT
echo "Firewall stopped ..."
;;
"start")
echo "Configure the firewall started ..."
#################
# BLOKUJEMY WSZYSTKO  #
#################
$F -P INPUT DROP
$F -P OUTPUT ACCEPT
$F -P FORWARD DROP
#### wlaczenie loopback
$F -A INPUT -i lo -j ACCEPT
$F -A OUTPUT -o lo -j ACCEPT
$F -A FORWARD -o lo -j ACCEPT

## --- INPUT ----
        #już nawiązanych (ESTABLISHED) połączeń.
        $F -A INPUT -i $WAN -m state --state ESTABLISHED,RELATED -j ACCEPT
        # ODBLOKOWUJEMY USLUFI
        #ICM ODPORNE NA ATAK
        $F -A INPUT -p icmp -j ACCEPT
        $F -A INPUT -p icmp --icmp-type echo-request -m limit --limit 2/s -j ACCEPT
        $F -A INPUT -p ICMP -s 0/0 --icmp-type 8 -j DROP
        $F -A INPUT -p ICMP -s 0/0 --icmp-type 11 -j ACCEPT
        # HTTP
        #$F  -A INPUT -s 0/0 -p tcp --dport 80 -j ACCEPT
        $F -A INPUT -s $CLAN -p tcp --dport 80 -j ACCEPT
        # HTTPS
        #$F -A INPUT -s 0/0 -p tcp --dport 443 -j ACCEPT
        # HTTP WEBCACHE
        #$F  -A INPUT -s 0/0 -p tcp --dport 8080 -j ACCEPT
        # ssh
        $F -A INPUT -p tcp --dport 22 -j ACCEPT
        # WSZYSTKO CO Z LAN MOŻE WYJŚĆ
        $F -A INPUT -d $CLAN -j ACCEPT
        # KASOWANIE PAKIETOW Z BLEDNYMI FLAGAMI
        $F -A INPUT -p tcp --tcp-flags ALL NONE -j DROP
        $F -A INPUT -p tcp --tcp-flags SYN,FIN SYN,FIN -j DROP
        $F -A INPUT -p tcp --tcp-flags SYN,RST SYN,RST -j DROP
        $F -A INPUT -p tcp --tcp-flags FIN,RST FIN,RST -j DROP
        $F -A INPUT -p tcp --tcp-flags ACK,FIN FIN -j DROP
        $F -A INPUT -p tcp --tcp-flags ACK,PSH PSH -j DROP
        $F -A INPUT -p tcp --tcp-flags ACK,URG URG -j DROP
        #zapisywanie do logow pakietow nie wpuszczonych
        $F -A INPUT -j LOG -m limit --limit 15/h --log-prefix '** IPTABLES_INPUT **' --log-level 4
#######################################################################################

## -- FORWARD ---
$F -t nat -A POSTROUTING -s $CLAN -d 0/0 -j MASQUERADE
$F -A FORWARD -s $CLAN -p tcp --dport 80 -j ACCEPT
$F -A FORWARD -s $CLAN -p tcp --dport 8080 -j ACCEPT
$F -A FORWARD -s $CLAN -p tcp --dport 443 -j ACCEPT
$F -A FORWARD -s $CLAN -p tcp --dport 110 -j ACCEPT
$F -A FORWARD -s $CLAN -p tcp --dport 25 -j ACCEPT
$F -A FORWARD -s $CLAN -p tcp --dport 993 -j ACCEPT
$F -A FORWARD -s $CLAN -p tcp --dport 995 -j ACCEPT
$F -A FORWARD -s $CLAN -p tcp --dport 465 -j ACCEPT
$F -A FORWARD -s $CLAN -p tcp --dport 20 -j ACCEPT
$F -A FORWARD -s $CLAN -p tcp --dport 21 -j ACCEPT
$F -A FORWARD -s $CLAN -p tcp --dport 6000:6500 -j ACCEPT
 #GADU-GADU
#$F -A FORWARD -s $CLAN -p tcp --dport 8074 -j ACCEPT
# GADU-GADU wymiana plików
#$F -A FORWARD -s $CLAN -p tcp --dport 1550 -j ACCEPT
#SKYPE
#$F -A FORWARD --protocol tcp --source-port 54534 -j ACCEPT
$F -A FORWARD -s $CLAN -p icmp -j ACCEPT
$F -A FORWARD -d $CLAN -j ACCEPT
$F -A FORWARD -i $LAN -m state --state ESTABLISHED,RELATED -j ACCEPT
$F -A FORWARD -j LOG -m limit --limit 15/h --log-prefix '** IPTABLES_FORWARD **' --log-level 4
###################################################################################
echo "Firewall configuration completed ..."
;;
"restart")
        echo "Please use the stop | start"
        ;;
*)
        echo "Use the command stop | start | restart"
        ;;
esac