Forum Debian Users Gang

#!/bin/bash
#
#################################
#                               #
# FIREWALL CONFIGURATION SCRIPT #
#                               #
#################################
#
####################################
#    ustawienie kilku zmiennych    #
####################################


# ścieżka do pliku iptables
         IPT=`which iptables`
# interfejs zewnętrzny, od strony Internetu
         INT_PUB="wlan0"
# interfejs wewnętrzny, od strony sieci LAN
         INT_LAN="eth0"
#interfejs wewnetrzny nr 2, od strony sieci LAN nr 2
         INT_LAN2="eth1"
# adres IP sieci LAN
         IP_LAN="192.168.0.0/24"

###############################
#          psztyczki          #
###############################

# wlaczenie forwardingu IP, czyli psztyczek od udostepniania lacza
echo "1" > /proc/sys/net/ipv4/ip_forward

# ochrona przed atakami
echo "1" > /proc/sys/net/ipv4/icmp_echo_ignore_broadcasts

echo "0" > /proc/sys/net/ipv4/conf/all/accept_source_route

echo "0" > /proc/sys/net/ipv4/conf/all/accept_redirects

echo "1" > /proc/sys/net/ipv4/icmp_ignore_bogus_error_responses

# echo "1" > /proc/sys/net/ipc4/conf/all/rp_filter      /* to nie dziala */

echo "1" > /proc/sys/net/ipv4/conf/all/log_martians

##################################
#        regułki firewalla       #
################################## 
# ustawiamy domyślną politykę dla poszczególnych łańcuchów
# domyślnie połączenia przychodzące odrzucamy
         $IPT -P INPUT DROP
# domyslnie blokujemy przekazywanie pakietów
         $IPT -P FORWARD DROP

# czyścimy istniejące reguły w łańcuchach
         $IPT -F
# czyścimy tablicę NAT
         $IPT -F -t nat
# czyscimy dotychczasowe lancuchy zdefiniowane przez uzytkownika
         $IPT -X


# interfejs lokalny (lo) traktujemy jako uprzywilejowany
         $IPT -A INPUT -i lo -j ACCEPT
         $IPT -A OUTPUT -o lo -j ACCEPT
         $IPT -A FORWARD -o lo -j ACCEPT

###########################
# najwazniejsze regulki   #
###########################

# wpuszczamy na wszystkie interfejsy tylko nawiązane przez siebie i spokrewnione połączenia (dla poszczególnych protokołów)
         $IPT -A INPUT -p all -j ACCEPT -m state --state ESTABLISHED,RELATED

# odrzucamy przychodzące na interfejsy zapytania o IDENT i SOCKS z odpowiedzią port nieosiągalny
# aby uniknąć opóźnień w trakcie łączenia z serwerami IRC i FTP
          $IPT -A INPUT -p tcp --dport 113 -j REJECT --reject-with icmp-port-unreachable
          $IPT -A INPUT -p tcp --dport 1080 -j REJECT --reject-with icmp-port-unreachable

# pozwalamy na połączenia z zaufanej sieci LAN (eth0)
         $IPT -A INPUT -i $INT_LAN -p all -j ACCEPT -m state --state NEW
         $IPT -A INPUT -i $INT_LAN2 -p all -j ACCEPT -m state --state NEW

# wpuszczamy z zewnątrz (wlan0) do sieci (eth0) tylko połączeń wcześniej nawiązanych z LAN lub spokrewnionych
      $IPT -A FORWARD -i $INT_PUB -o $INT_LAN -p all -m state --state ESTABLISHED,RELATED -j ACCEPT
# wypuszczanie połączeń z sieci LAN do Internetu
      $IPT -A FORWARD -i $INT_LAN -o $INT_PUB -p all -j ACCEPT

# to samo z drugim interfejsem
# wpuszczamy z zewnątrz (wlan0) do sieci (eth0) tylko połączeń wcześniej nawiązanych z LAN lub spokrewnionych
      $IPT -A FORWARD -i $INT_PUB -o $INT_LAN2 -p all -m state --state ESTABLISHED,RELATED -j ACCEPT
# wypuszczanie połączeń z sieci LAN do Internetu
      $IPT -A FORWARD -i $INT_LAN2 -o $INT_PUB -p all -j ACCEPT

# odrzucamy pozostały ruch przekazywany
           $IPT -A FORWARD -j DROP

# wykonujemy translację adresów NAT (MASQUERADE) dla całej sieci - dla dynamicznego IP publicznego
          $IPT -t nat -A POSTROUTING -o $INT_PUB -s $IP_LAN -j MASQUERADE

echo "Setting up firewall... done."