Forum Debian Users Gang

eth1: 10.0.1.1
eth2: 10.0.0.1

WinXP
IP: 10.0.1.2
Brama: 10.0.1.1

Win98
IP: 10.0.0.2
Brama: 10.0.0.1

echo 1 > /proc/sys/net/ipv4/ip_forward
iptables -F
iptables -X
iptables -t nat -X
iptables -t nat -F
iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT ACCEPT
iptables -A INPUT -i lo -j ACCEPT
iptables -A FORWARD -o lo -j ACCEPT
iptables -A INPUT -j ACCEPT -m state --state ESTABLISHED,RELATED
iptables -A FORWARD -j ACCEPT -m state --state ESTABLISHED,RELATED
iptables -A OUTPUT -j ACCEPT -m state --state ESTABLISHED,RELATED
iptables -t nat -A POSTROUTING -s 10.0.0.2 -j MASQUERADE
iptables -A FORWARD -s 10.0.0.2 -j ACCEPT
iptables -t nat -A POSTROUTING -s 10.0.1.2 -j MASQUERADE
iptables -A FORWARD -s 10.0.1.2 -j ACCEPT

a co do tego zeby sie widzialy

iptables -A INPUT -s 10.0.0.2 -d 10.0.1.2 -j ACCEPT
iptables -A INPUT -s 10.0.1.2 -d 10.0.0.2 -j ACCEPT

Przeszukalem forum i troche dodalem i nie wiem czy teraz jest to dobre


#FIREWALL

#forwardowanie
echo 1 > /proc/sys/net/ipv4/ip_forward

#blokada ipspoofing
echo "1" >/proc/sys/net/ipv4//conf/all/rp_filter
#ochrona przed atakami syn cokkies
echo "1" >/proc/sys/net/ipv4/tcp_syncookies
#brak reakcji na fałszywe komunikaty o błedach
echo "1" >/proc/sys/net/ipv4/icmp_ignore_bogus_error_responses
#ochrona przed atakami smurf
echo "1" >/proc/sys/net/ipv4/icmp_echo_ignore_broadcasts

#czyszczenie
iptables -F
iptables -X
iptables -t nat -X
iptables -t nat -F

#dzialanie
iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT ACCEPT
iptables -A INPUT -i lo -j ACCEPT
iptables -A FORWARD -o lo -j ACCEPT

#PING
iptables -A INPUT -p icmp --icmp-type echo-request -j ACCEPT

#porty otwarte
iptables -A INPUT -i eth0 -p tcp --destination-ports 21,25,80,82,110 -j ACCEPT

#
# czy te porty otwarte sa dobrze?
#


#nawiazane polaczenia
iptables -A INPUT -j ACCEPT -m state --state ESTABLISHED,RELATED
iptables -A FORWARD -j ACCEPT -m state --state ESTABLISHED,RELATED
iptables -A OUTPUT -j ACCEPT -m state --state ESTABLISHED,RELATED

#przekazujemy net
iptables -t nat -A POSTROUTING -s 10.0.0.2 -j MASQUERADE
iptables -A FORWARD -s 10.0.0.2 -j ACCEPT
iptables -t nat -A POSTROUTING -s 10.0.1.2 -j MASQUERADE
iptables -A FORWARD -s 10.0.1.2 -j ACCEPT

#aby kompy sie widzialy
iptables -A INPUT -s 10.0.0.2 -d 10.0.1.2 -j ACCEPT
iptables -A INPUT -s 10.0.1.2 -d 10.0.0.2 -j ACCEPT

#przekierowanie portow na siec lokalna

#emule
iptables -A FORWARD -p tcp -d 10.0.1.2 --dport 4663 -j ACCEPT
iptables -A PREROUTING -t nat -p tcp --dport 4663 -j DNAT --to 10.0.1.2:4663
iptables -A FORWARD -p udp -d 10.0.1.2 --dport 4673 -j ACCEPT
iptables -A PREROUTING -t nat -p udp --dport 4673 -j DNAT --to 10.0.1.2:4673

Jeśli mogę coś poradzić to postaw sobie bridge pakiet bridge-utils na kartach eth1 i eth2 (siec wewn z XP i 98).
w  /etc/network/interfaces dodaj

auto br0
iface br0 inet static
    address 10.0.0.1
    netmask 255.255.255.0
    broadcast 10.0.0.255
    network 10.0.0.0
    bridge_ports eth1 eth2
    bridge_stp off
    bridge_fd 0


oczywiście br0 bedzie twoim nowym interfejsem na kartach eth1 i eth2.
Nie zapomnij zrestartować sieci. Firewall też może wymagać zmian
Masz wtedy tylko 2 sieci.

Przykład /etc/init.d/firewall
#!/bin/bash
UPLINK="eth0"
ROUTER="yes"
NAT="192.168.1.200"
INTERFACES="eth0 br0"
# 22 139 445
SERVICES_TCP="ssh netbios-ssn microsoft-ds"
# 137 138
SERVICES_UDP="netbios-ns netbios-dgm"

if [ "$1" = "start" ]; then
    echo "Startowanie firewall ..."
    iptables -P INPUT DROP
    # Blokujemy wszystko spoza sieci $UPLINK
    iptables -A INPUT -i ! ${UPLINK} -j ACCEPT
    # Niech odpowiada na pingi
    iptables -A INPUT -i ${UPLINK} -p icmp -j ACCEPT
    iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
    #dopuszczenie serwisów
    for x in ${SERVICES_TCP}
    do
        iptables -A INPUT -p tcp --dport ${x} -m state --state NEW -j ACCEPT
    done

    for x in ${SERVICES_UDP}
    do
        iptables -A INPUT -p udp --dport ${x} -m state --state NEW -j ACCEPT
    done

    iptables -A INPUT -p tcp -i ${UPLINK} -j REJECT --reject-with tcp-reset
    iptables -A INPUT -p udp -i ${UPLINK} -j REJECT --reject-with icmp-port-unreachable
    #włączenie ECN
    if [ -e /proc/sys/net/ipv4/tcp_ecn ]; then
        echo 0 > /proc/sys/net/ipv4/tcp_ecn
    fi
    #wyłączenie spoofowania
    for x in ${INTERFACES}
    do
        echo 1 > /proc/sys/net/ipv4/conf/${x}/rp_filter
    done
    if [ "$ROUTER" = "yes" ]; then
        echo 1 > /proc/sys/net/ipv4/ip_forward
        if [ "$NAT" = "dynamic" ]; then
            echo "Włączenie maskarady (dynamiczny ip) ..."
            iptables -t nat -A POSTROUTING -o ${UPLINK} -j MASQUERADE
        elif [ "$NAT" != "" ]; then
            echo "Włączenie SNAT (statyczny IP) ..."
            iptables -t nat -A POSTROUTING -o ${UPLINK} -j SNAT --to ${NAT}
        fi
    fi
    elif [ "$1" = "stop" ]; then
        echo "Zatrzymanie Firewalla ..."
        iptables -F INPUT
        iptables -P INPUT ACCEPT
        #Włączenie maskarady
        iptables -t nat -F POSTROUTING
    fi

Chodzi jak burza