script firewall

da **salbutamolo** » dom apr 17, 2005 14:34

Ciao a tutti, navigo dietro ad un router linksys con protezione dmz e ho deciso di fare anche uno script per iptables. Su zeus news ho trovato un bello script e l´ho adattato alle mie esigenze tuttavia una volta caricato mi impedisce l´accesso ad ogni cosa. Internet, posta, tutto insomma! Vi posto lo script, è un po´ lungo scusate, perchè non capisco dove sbaglio: <TABLE BORDER=0 ALIGN=CENTER WIDTH=85%><TR><TD>Quote:<HR></TD></TR><TR><TD><BLOCKQUOTE> #!/bin/bash ############################################################################### # # rc.firewall # # script di configurazione per Netfilter: il computer dispone di una # connessione non permanente a Internet con indirizzo IP dinamico e di una # scheda ethernet per il collegamento a una LAN privata # # rc.firewall, lanciato senza opzioni, configura Netfilter e kernel; con # l´opzione -v configura Netfilter e kernel e visualizza la configurazione # # nota: i range di porte utilizzati per la definizione delle regole sono qui # specificati con la notazione abbreviata (gli estremi 0 e 65535 sono omessi) # ############################################################################### ############################################################################### # # lo script deve essere eseguito da root: se le permissions del file non sono # corrette (700) e ne consentono l´esecuzione anche da parte di utenti non # privilegiati, entra in azione il controllo che segue # ############################################################################### if [ "$(id -u)" -ne "0" ] then echo "$0: You must be root to run this script" >&2 exit 1 fi ############################################################################### # # variabili di environment: modificare secondo la propria configurazione # ############################################################################### LAN_NET="192.168.1.0/24" # range di indirizzi della LAN LAN_IP="192.168.1.2" # indirizzo del computer sulla LAN LAN_IF="eth0" # interfaccia di rete LAN INET_IF="eth0" # interfaccia virtuale di collegamento a Internet ############################################################################### # # setup preliminare # ############################################################################### modprobe ip_conntrack_ftp iptables -F iptables -X ############################################################################### # # definizione della chain STOP (logga e scarta i pacchetti) # ############################################################################### iptables -N STOP iptables -A STOP -j LOG iptables -A STOP -j DROP ############################################################################### # # tutto il traffico che richiede routing viene scartato # ############################################################################### iptables -A FORWARD -j STOP ############################################################################### # # tutto il traffico sospetto (pacchetti non validi e frammenti) viene scartato # ############################################################################### iptables -A INPUT -j STOP -m state --state INVALID iptables -A INPUT -j STOP -f iptables -A OUTPUT -j STOP -m state --state INVALID iptables -A OUTPUT -j STOP -f ############################################################################### # # loopback: tutto il traffico locale e´ abilitato senza limitazioni # ############################################################################### iptables -A INPUT -i lo -j ACCEPT iptables -A OUTPUT -o lo -j ACCEPT ############################################################################### # # lan: il traffico da e verso la rete locale e´ abilitato con la sola # esclusione dei pacchetti con indirizzi non lan o sospetti # ############################################################################### iptables -A INPUT -i $LAN_IF -j STOP -s $LAN_IP iptables -A INPUT -i $LAN_IF -j STOP -d ! $LAN_IP iptables -A INPUT -i $LAN_IF -j STOP -s ! $LAN_NET iptables -A INPUT -i $LAN_IF -j ACCEPT iptables -A OUTPUT -o $LAN_IF -j STOP -d $LAN_IP iptables -A OUTPUT -o $LAN_IF -j STOP -s ! $LAN_IP iptables -A OUTPUT -o $LAN_IF -j STOP -d ! $LAN_NET iptables -A OUTPUT -o $LAN_IF -j ACCEPT ############################################################################### # # internet: sono scaratati i pacchetti provenienti o destinati a reti private # o indirizzi riservati (classi a, b, c, e) # ############################################################################### iptables -A INPUT -i $INET_IF -j STOP -s 10.0.0.0/8 iptables -A INPUT -i $INET_IF -j STOP -d 10.0.0.0/8 iptables -A INPUT -i $INET_IF -j STOP -s 172.16.0.0/12 iptables -A INPUT -i $INET_IF -j STOP -d 172.16.0.0/12 iptables -A INPUT -i $INET_IF -j STOP -s 192.168.0.0/16 iptables -A INPUT -i $INET_IF -j STOP -d 192.168.0.0/16 iptables -A INPUT -i $INET_IF -j STOP -s 240.0.0.0/5 iptables -A INPUT -i $INET_IF -j STOP -d 240.0.0.0/5 iptables -A OUTPUT -o $INET_IF -j STOP -s 10.0.0.0/8 iptables -A OUTPUT -o $INET_IF -j STOP -d 10.0.0.0/8 iptables -A OUTPUT -o $INET_IF -j STOP -s 172.16.0.0/12 iptables -A OUTPUT -o $INET_IF -j STOP -d 172.16.0.0/12 iptables -A OUTPUT -o $INET_IF -j STOP -s 192.168.0.0/16 iptables -A OUTPUT -o $INET_IF -j STOP -d 192.168.0.0/16 iptables -A OUTPUT -o $INET_IF -j STOP -s 240.0.0.0/5 iptables -A OUTPUT -o $INET_IF -j STOP -d 240.0.0.0/5 ############################################################################### # # internet: sono bloccati i pacchetti da e per indirizzi di loopback # ############################################################################### iptables -A INPUT -i $INET_IF -j STOP -s 127.0.0.0/8 iptables -A INPUT -i $INET_IF -j STOP -d 127.0.0.0/8 iptables -A OUTPUT -o $INET_IF -j STOP -s 127.0.0.0/8 iptables -A OUTPUT -o $INET_IF -j STOP -d 127.0.0.0/8 ############################################################################### # # internet: sono bloccati i pacchetti da e per indirizzi di broadcast atipici # ############################################################################### iptables -A INPUT -i $INET_IF -j STOP -s 0.0.0.0 iptables -A INPUT -i $INET_IF -j STOP -d 0.0.0.0 iptables -A INPUT -i $INET_IF -j STOP -s 255.255.255.255 iptables -A INPUT -i $INET_IF -j STOP -d 255.255.255.255 iptables -A OUTPUT -o $INET_IF -j STOP -s 0.0.0.0 iptables -A OUTPUT -o $INET_IF -j STOP -d 0.0.0.0 iptables -A OUTPUT -o $INET_IF -j STOP -s 255.255.255.255 iptables -A OUTPUT -o $INET_IF -j STOP -d 255.255.255.255 ############################################################################### # # internet: i multicast (classe d) sono accettati in ingresso se l´indirizzo # multicast e´ quello di destinazione; in uscita sono sempre scartati # ############################################################################### iptables -A INPUT -i $INET_IF -j STOP -s 224.0.0.0/4 iptables -A INPUT -i $INET_IF -j ACCEPT -d 224.0.0.0/4 -p udp \ -m limit --limit 5/second --limit-burst 10 iptables -A OUTPUT -o $INET_IF -j STOP -s 224.0.0.0/4 iptables -A OUTPUT -o $INET_IF -j STOP -d 224.0.0.0/4 ############################################################################### # # internet: bloccati tutti i pacchetti in ingresso diretti a indirizzi diversi # da quello locale e tutti i pacchetti in uscita con indirizzo di origine # diverso da quello locale # ############################################################################### iptables -A INPUT -i $INET_IF -j DROP iptables -A OUTPUT -o $INET_IF -j DROP ############################################################################### # # internet: dns (solo query) # ############################################################################### iptables -A OUTPUT -o $INET_IF -j ACCEPT -p udp --sport 1024: --dport 53 \ -m state --state NEW,ESTABLISHED iptables -A INPUT -i $INET_IF -j ACCEPT -p udp --dport 1024: --sport 53 \ -m state --state ESTABLISHED ############################################################################### # # internet: ftp (controllo), smtp, http, pop3, https # ############################################################################### iptables -A OUTPUT -o $INET_IF -j ACCEPT -p tcp --sport 1024: \ -m multiport --dports 21,25,80,110,443 -m state --state NEW,ESTABLISHED iptables -A INPUT -i $INET_IF -j ACCEPT -p tcp --dport 1024: \ -m multiport --sports 21,25,80,110,443 -m state --state ESTABLISHED ############################################################################### # # internet: ftp (dati / active); per attivare le regole rimuovere i # caratteri "#" in testa alle righe # ############################################################################### #iptables -A INPUT -i $INET_IF -j ACCEPT -p tcp --dport 1024: --sport 20 \ # -m state --state RELATED -m limit --limit 10/minute --limit-burst 15 #iptables -A INPUT -i $INET_IF -j ACCEPT -p tcp --dport 1024: --sport 20 \ # -m state --state ESTABLISHED #iptables -A OUTPUT -o $INET_IF -j ACCEPT -p tcp --sport 1024: --dport 20 \ # -m state --state ESTABLISHED ############################################################################### # # internet: ftp (dati / passive) # ############################################################################### iptables -A OUTPUT -o $INET_IF -j ACCEPT -p tcp --sport 1024: --dport 1024: \ -m state --state RELATED,ESTABLISHED iptables -A INPUT -i $INET_IF -j ACCEPT -p tcp --dport 1024: --sport 1024: \ -m state --state ESTABLISHED ############################################################################### # # internet: traceroute solo verso host remoti # ############################################################################### iptables -A OUTPUT -o $INET_IF -j ACCEPT -p udp --sport 32769: \ --dport 33434:33523 -m state --state NEW ############################################################################### # # internet: icmp ok verso host remoti; in ingresso solo in risposta a # connessioni gia´ attive # ############################################################################### iptables -A OUTPUT -o $INET_IF -j ACCEPT -p icmp -m state --state NEW iptables -A INPUT -i $INET_IF -j ACCEPT -p icmp \ -m state --state RELATED,ESTABLISHED ############################################################################### # # tutto cio´ che non e´ stato esplicitamente ammesso viene bloccato ora # ############################################################################### iptables -A INPUT -j STOP iptables -A OUTPUT -j STOP ############################################################################### # # kernel settings: i comandi che seguono richiedono al kernel di Linux di # scartare alcune tipolgie di pacchetti che potrebbero essere utilizzate # per diversi tipi di attacco. Non si tratta di comandi dati a Netfilter: # vengono valorizzate variabili di stato interne al kernel scrivendo i # valori opportuni sul filesystem virtuale /proc # ############################################################################### echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_broadcasts echo 1 > /proc/sys/net/ipv4/icmp_ignore_bogus_error_responses echo 0 > /proc/sys/net/ipv4/conf/all/accept_source_route echo 0 > /proc/sys/net/ipv4/conf/all/accept_redirects ############################################################################### # # display della configurazione attivata # ############################################################################### if [ "$1" = "-v" ] then iptables -L -nv --line-numbers echo echo kernel: icmp_echo_ignore_broadcasts = \ $(cat /proc/sys/net/ipv4/icmp_echo_ignore_broadcasts) echo kernel: icmp_ignore_bogus_error_responses = \ $(cat /proc/sys/net/ipv4/icmp_ignore_bogus_error_responses) echo kernel: accept_source_route = \ $(cat /proc/sys/net/ipv4/conf/all/accept_source_route) echo kernel: accept_redirects = \ $(cat /proc/sys/net/ipv4/conf/all/accept_redirects) fi ############################################################################### # # fine # ############################################################################### exit 0 </BLOCKQUOTE></TD></TR><TR><TD><HR></TD></TR></TABLE> Qualche idea? have a nice day

da **salbutamolo** » lun apr 18, 2005 8:20

Ciao a tutti, ho risolto modificando questa riga in questa maniera....ora funziona tutto però ditemi se magari ho fatto una bestiata :-] <TABLE BORDER=0 ALIGN=CENTER WIDTH=85%><TR><TD>Quote:<HR></TD></TR><TR><TD><BLOCKQUOTE> LAN_NET="192.168.1.0/24" # range di indirizzi della LAN LAN_NET="192.168.1.0/0" # range di indirizzi della LAN </BLOCKQUOTE></TD></TR><TR><TD><HR></TD></TR></TABLE> have a nice day

da **oneshow** » lun apr 18, 2005 9:55

La modifica che hai fatto è errata, in questo modo identifichi QUALSIASI indirizzo come appartenente alla tua rete. Il problema è un altro.... LAN_IF="eth0" # interfaccia di rete LAN INET_IF="eth0" # interfaccia virtuale di collegamento a Internet Per effettuare Routing tra due reti (la lan e la wan) devi usare due interfaccie, INET_IF deve essere un altra scheda di rete .... eth1 oppure ppp0 oppure.... non so dipende dalla tua rete ma questa configurazione sicuramente non è corretta. Ciauz Stefo

da **salbutamolo** » lun apr 18, 2005 10:01

Ciao, grazie del chiarimento. Tuttavia io non ho 2 interfacce di rete ne ho solo una! Come faccio a fare fungere questo script? Mi sembra abbastanza completo per una prorezione "casalinga" quindi ci terrei a farlo funzionare! E poi, perchè con la modifica fatta riesco a navigare e a scaricare la posta? Forse quella modifica annulla in qualche maniera le regole sottostanti e quindi il firewall non filtra un bel nulla? Ripeto io non ho ppp0 perchè uso un router! Have a nice day

da **salbutamolo** » mar apr 19, 2005 7:36

Ciao a tutti, ho apportato un´altra modifica che ha avuto scarso successo....quindi aspetto trepidante vostri suggerimenti. Vi parlo della modifica: visto che non ho 2 schede di rete ma che comunque il router si occupa del traffico internet ho pensato di indicare quest´ultimo come interfaccia di rete internet nel seguente modo: <TABLE BORDER=0 ALIGN=CENTER WIDTH=85%><TR><TD>Quote:<HR></TD></TR><TR><TD><BLOCKQUOTE> LAN_NET="192.168.1.0/24" # range di indirizzi della LAN LAN_IP="192.168.1.2" # indirizzo del computer sulla LAN LAN_IF="eth0" # interfaccia di rete LAN INET_IF="192.168.1.1" # interfaccia virtuale di collegamento a Internet </BLOCKQUOTE></TD></TR><TR><TD><HR></TD></TR></TABLE> Il risultato è stato lo stesso, il firewall blocca qualunque cosa e non mi dà la possibilità di "uscire" su internet in qualsivoglia maniera. Non capisco prorpio perchè, questa mi era sembrata un´iidea gagliarda...invece era malsana :-D

Have a nice day

da **gerardo_sl** » ven apr 22, 2005 5:04

<TABLE BORDER=0 ALIGN=CENTER WIDTH=85%><TR><TD>Quote:<HR></TD></TR><TR><TD><BLOCKQUOTE> #script di configurazione per Netfilter: il computer dispone di una # connessione non permanente a Internet con indirizzo IP dinamico e di una # scheda ethernet per il collegamento a una LAN privata </BLOCKQUOTE></TD></TR><TR><TD><HR></TD></TR></TABLE> Non sono riuscito a trovare lo script originale, ma suppongo che la variabile dovesse essre: INET_IF="ppp0" più avanti si ha la regola: <TABLE BORDER=0 ALIGN=CENTER WIDTH=85%><TR><TD>Quote:<HR></TD></TR><TR><TD><BLOCKQUOTE> # lan: il traffico da e verso la rete locale e´ abilitato con la sola # esclusione dei pacchetti con indirizzi non lan o sospetti # ############################################################################### iptables -A INPUT -i $LAN_IF -j STOP -s $LAN_IP iptables -A INPUT -i $LAN_IF -j STOP -d ! $LAN_IP iptables -A INPUT -i $LAN_IF -j STOP -s ! $LAN_NET iptables -A INPUT -i $LAN_IF -j ACCEPT iptables -A OUTPUT -o $LAN_IF -j STOP -d $LAN_IP iptables -A OUTPUT -o $LAN_IF -j STOP -s ! $LAN_IP iptables -A OUTPUT -o $LAN_IF -j STOP -d ! $LAN_NET iptables -A OUTPUT -o $LAN_IF -j ACCEPT </BLOCKQUOTE></TD></TR><TR><TD><HR></TD></TR></TABLE> che significa che a LAN_IF (coé alla scheda di rete) arriveranno tutti e solo i pacchetti della LAN. Se si pone INET_IF="eth0", si ha : LAN_IF=INET_IF="eth0". A questo punto tutti i pacchetti saranno stati processati dalla regola di cui sopra ed il resto del firewall non farà storia. Come detto dal commento introduttivo, lo script é basato sul fatto che avvenga una prima discriminazone di pacchetti utilizzando interfacce diverse per il collegamento LAN e quello internet. <TABLE BORDER=0 ALIGN=CENTER WIDTH=85%><TR><TD>Quote:<HR></TD></TR><TR><TD><BLOCKQUOTE> E poi, perchè con la modifica fatta riesco a navigare e a scaricare la posta? </BLOCKQUOTE></TD></TR><TR><TD><HR></TD></TR></TABLE> Assegnando una netmask di bit zero ad un indirizzo IP, significa che ogni bit di tutti e quattro gli ottetti che compongono l´IP stesso assumeranno combinatoriamente i valori 0 ed1 ottenendo così un intervallo che va da 0.0.0.0 a 255.255.255.255, ossia l´intero indirizzario IP di internet con le conseguenze descritte da Oneshow: potrai collegarti ad internet, ma se finisci sotto attacco il tuo computer é spacciato.

da **salbutamolo** » ven apr 22, 2005 8:08

Ciao a tutti, grazie delle risposte. ho capito quello che non va, tuttavia grazie alla mia tordadiggine su iptables non ho capito come risolvere. Secondo voi esiste un modo di adattare questo script alla mia configurazione o mi conviene riprogettarlo da zero? Have a nice day

da **gerardo_sl** » sab apr 23, 2005 4:32

<TABLE BORDER=0 ALIGN=CENTER WIDTH=85%><TR><TD>Quote:<HR></TD></TR><TR><TD><BLOCKQUOTE>Secondo voi esiste un modo di adattare questo script alla mia configurazione o mi conviene riprogettarlo da zero? </BLOCKQUOTE></TD></TR><TR><TD><HR></TD></TR></TABLE> Lo script é senz´altro adattabile con un po´ di pazienza e, comunque, lo trovo un esercizio molto utile. Se fai caso, la funzione della variabile LAN_IF si esaurisce nella regola per il collegamento LAN <TABLE BORDER=0 ALIGN=CENTER WIDTH=85%><TR><TD>Quote:<HR></TD></TR><TR><TD><BLOCKQUOTE> # lan: il traffico da e verso la rete locale e´ abilitato con la sola # esclusione dei pacchetti con indirizzi non lan o sospetti # ####################################### iptables -A INPUT -i $LAN_IF -j STOP -s $LAN_IP iptables -A INPUT -i $LAN_IF -j STOP -d ! $LAN_IP iptables -A INPUT -i $LAN_IF -j STOP -s ! $LAN_NET iptables -A INPUT -i $LAN_IF -j ACCEPT iptables -A OUTPUT -o $LAN_IF -j STOP -d $LAN_IP iptables -A OUTPUT -o $LAN_IF -j STOP -s ! $LAN_IP iptables -A OUTPUT -o $LAN_IF -j STOP -d ! $LAN_NET iptables -A OUTPUT -o $LAN_IF -j ACCEPT </BLOCKQUOTE></TD></TR><TR><TD><HR></TD></TR></TABLE> Il resto del firewall (ossia il filtraggio internet) ruota attorno alla variabile INET_IF. Dunque, si potrebbe eliminare LAN_IF (e la regola che lo implica) ed imporre INET_IF="eth0" (come d´altra parte avevi già intuito). Con questo il filtraggio sarebbe impostato sulla scheda di rete. Dovrai modificare qualcosa per farlo funzionare: non ho analizzato il resto dello script (se guardi l´ora in cui posto i miei messaggi capirai perché), ma anche con un´occhiata superficiale credo che non dovresti ancora riuscire ad accedere ad internet e neppure al tuo router, ma non ti sarà difficile risolvere il problema. Concludo indicandoti uno dei più bei siti sull´argomento: http://www.linux-firewall-tools.com/ Ci troverai tutto quello che occorre: vari script di esempio che é utile confrontare (ben redatti anche per la stampa) e guide per lo scopo.

da **salbutamolo** » sab apr 23, 2005 7:35

Ciao a tutti, grazie gerardo_sl per la cortese risposta ora vedrò visitando anche il sito che mi hai suggerito di rendere funzionante lo scriptone :-D

: Ancora grazie per l´ottimo suggerimento, have a nice day

da **salbutamolo** » gio apr 28, 2005 15:38

Ciao a tutti, ho letto con estremo interesse gli esempi di firewall riportati nel sito <a href="http://www.linux-firewall-tools.com/" target="_blank" target="_new">http://www.linux-firewall-tools.com/</a>! Uno in particolare ha attirato la mia attenzione, quello chiamato stand-alone firewall. studiato per una macchina dotata di una sola scheda di rete, esattamente come la mia. Ci sono dei parametri che non riesco a comprendere mi date una mano a districare la cosa? :-] Riporto di seguito uno stralcio dello script <TABLE BORDER=0 ALIGN=CENTER WIDTH=85%><TR><TD>Quote:<HR></TD></TR><TR><TD><BLOCKQUOTE> INTERNET="eth0" Questa l´ho capita LOOPBACK_INTERFACE="lo" Anche qui nessun problema IPADDR="my.ip.address" Nessun Probelma SUBNET_BASE="network.address" # ISP network segment base address ( Questa non ho idea di cosa sia) SUBNET_BROADCAST="directed.broadcast" # network segment broadcast address (Purtroppo anche qui buio assoluto) MY_ISP="my.isp.address.range" # ISP server & NOC address range ( Idem come sopra) NAMESERVER="isp.name.server.1" # address of a remote name server POP_SERVER="isp.pop.server" # address of a remote pop server MAIL_SERVER="isp.mail.server" # address of a remote mail gateway NEWS_SERVER="isp.news.server" # address of a remote news server TIME_SERVER="some.timne.server" # address of a remote time server DHCP_SERVER="isp.dhcp.server" # address of your ISP dhcp server </BLOCKQUOTE></TD></TR><TR><TD><HR></TD></TR></TABLE> Presumo che questi ultimi 6 indirizzi ip si possano reperire da alice, ma non ci penso nemmeno a telefonare sono sicuro che non saprebbero rispondermi, c´è un modo "hackeroso" pe recuperarli? Grazie a tutti in anticipo! Have anice day

da **gerardo_sl** » ven apr 29, 2005 2:59

<TABLE BORDER=0 ALIGN=CENTER WIDTH=85%><TR><TD>Quote:<HR></TD></TR><TR><TD><BLOCKQUOTE> Presumo che questi ultimi 6 indirizzi ip si possano reperire da alice, ma non ci penso nemmeno a telefonare sono sicuro che non saprebbero rispondermi, c´è un modo "hackeroso" pe recuperarli? </BLOCKQUOTE></TD></TR><TR><TD><HR></TD></TR></TABLE> Non hai bisogno di quasi niente di quello che non sai, quindi tranquillo e non telefonare ad Alice. Lo script che hai trovato é completo oltre le necessità perché contempla esigenze diverse e che spesso non si possono presentare contemporaneamente: ad esempio non puoi avere simultaneamente un IP fisso ed un DHCP sulla stessa interfaccia. Quello che ti serve é esattamente quello che hai capito, più il DNS che dovrebbe corrispondere alla voce NAMESERVER. Se ti colleghi al tuo router mediante dhcp, troverai tale numero nel file /etc/resolv.conf, altrimenti sai già la cosa perché lo avrai configurato manualmente. Purtroppo ho qualche problema, ma nei prossimi giorni cercherò di seguire un pò il problema. Intanto, in questo collegamento troverai un pò di teoria sul filtraggio; é la traduzione autorizzata del manuale di Rusty Russell, lo sviluppatore di Netfilter: http://www.netfilter.org/documentation/HOWTO/it/packet-filtering-HOWTO.txt

da **useless** » ven apr 29, 2005 8:36

NAMESERVER="ip del tuo dns che trovi in resolv.conf a connessione avvenuta" POP_SERVER="box.alice.it o qualcosa di simile" MAIL_SERVER="mail.alice.it o simile" NEWS_SERVER="se non leggi newsgroupd fregatene" TIME_SERVER="se non usi ntp fregatene" DHCP_SERVER="uhm, che storia. prova a non mettere niente"

da **salbutamolo** » ven apr 29, 2005 9:24

Ciao gente avevo risposto anche prima ma il mio messaggio si è perso nell´etere....BTW chiedo scisa nel qual caso dovesse arrivare doppio. Dicevo..grazie a tutti per la consulenza siete troooppo i migliori! :-] Ho apportato le modifiche da voi suggerite allo script e questo è il risultato: <TABLE BORDER=0 ALIGN=CENTER WIDTH=85%><TR><TD>Quote:<HR></TD></TR><TR><TD><BLOCKQUOTE> #!/bin/bash modprobe ip_conntrack_ftp CONNECTION_TRACKING="1" ACCEPT_AUTH="0" SSH_SERVER="0" FTP_SERVER="0" WEB_SERVER="0" SSL_SERVER="0" DHCP_CLIENT="0" INTERNET="eth0" # Internet-connected interface LOOPBACK_INTERFACE="lo" # however your system names it IPADDR="192.168.1.2" # your IP address #SUBNET_BASE="" # ISP network segment base address #SUBNET_BROADCAST="" # network segment broadcast address #MY_ISP="" # ISP server & NOC address range NAMESERVER="212.216.112.112" # address of a remote name server POP_SERVER="any/0" # address of a remote pop server MAIL_SERVER="out.aliceposta.it" # address of a remote mail gateway NEWS_SERVER="195.31.190.131" # address of a remote news server TIME_SERVER="66.206.11.192" # address of a remote time server DHCP_SERVER="any/0" # address of your ISP dhcp server LOOPBACK="127.0.0.0/8" # reserved loopback address range CLASS_A="10.0.0.0/8" # class A private networks CLASS_B="172.16.0.0/12" # class B private networks CLASS_C="192.168.0.0/16" # class C private networks CLASS_D_MULTICAST="224.0.0.0/4" # class D multicast addresses CLASS_E_RESERVED_NET="240.0.0.0/5" # class E reserved addresses BROADCAST_SRC="0.0.0.0" # broadcast source address BROADCAST_DEST="255.255.255.255" # broadcast destination address PRIVPORTS="0:1023" # well-known, privileged port range UNPRIVPORTS="1024:65535" # unprivileged port range SSH_PORTS="1024:65535" NFS_PORT="2049" LOCKD_PORT="4045" SOCKS_PORT="1080" OPENWINDOWS_PORT="2000" XWINDOW_PORTS="6000:6063" SQUID_PORT="3128" ############################################################### # WARNING: # The following section is written for dhclient. # This section demonstrates what needs to be done # to dynamically modify the IP address and name servers. # See the "dhclient-script" man page # and the "dhclient.conf" man page for details. if [ x$reason = xBOUND ] || [ x$reason = xRENEW ] || [ x$reason = xREBIND ]; then IPADDR=$new_ip_address # Some ISPs use more than one DHCP server. # In that case, you can leave DHCP_SERVER set to any/0, # or you can hard-code duplicate DHCP rules that # reference the specific server IP addresses. DHCP_SERVER=$new_dhcp_server_identifier elif [ x$reason = xPREINIT ] || \ [ x$reason = xEXPIRE ] || [ x$reason = xFAIL ] || [ x$reason = xTIMEOUT ]; then IPADDR="any/0" DHCP_SERVER="any/0" fi ############################################################### # Enable broadcast echo Protection echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_broadcasts # Disable Source Routed Packets for f in /proc/sys/net/ipv4/conf/*/accept_source_route; do echo 0 > $f done # Enable TCP SYN Cookie Protection echo 1 > /proc/sys/net/ipv4/tcp_syncookies # Disable ICMP Redirect Acceptance for f in /proc/sys/net/ipv4/conf/*/accept_redirects; do echo 0 > $f done # Don¹t send Redirect Messages for f in /proc/sys/net/ipv4/conf/*/send_redirects; do echo 0 > $f done # Drop Spoofed Packets coming in on an interface, which if replied to, # would result in the reply going out a different interface. for f in /proc/sys/net/ipv4/conf/*/rp_filter; do echo 1 > $f done # Log packets with impossible addresses. for f in /proc/sys/net/ipv4/conf/*/log_martians; do echo 1 > $f done ############################################################### # Remove any existing rules from all chains iptables --flush iptables -t nat --flush iptables -t mangle --flush # Unlimited traffic on the loopback interface iptables -A INPUT -i lo -j ACCEPT iptables -A OUTPUT -o lo -j ACCEPT # Set the default policy to drop iptables --policy INPUT DROP iptables --policy OUTPUT DROP iptables --policy FORWARD DROP # A bug that showed up as of the Red Hat 7.2 release results # in the following 5 default policies breaking the firewall # initialization: # iptables -t nat --policy PREROUTING DROP # iptables -t nat --policy OUTPUT DROP # iptables -t nat --policy POSTROUTING DROP # iptables -t mangle --policy PREROUTING DROP # iptables -t mangle --policy OUTPUT DROP # Remove any pre-existing user-defined chains iptables --delete-chain iptables -t nat --delete-chain iptables -t mangle --delete-chain ############################################################### # Stealth Scans and TCP State Flags # All of the bits are cleared iptables -A INPUT -p tcp --tcp-flags ALL NONE -j DROP # SYN and FIN are both set iptables -A INPUT -p tcp --tcp-flags SYN,FIN SYN,FIN -j DROP # SYN and RST are both set iptables -A INPUT -p tcp --tcp-flags SYN,RST SYN,RST -j DROP # FIN and RST are both set iptables -A INPUT -p tcp --tcp-flags FIN,RST FIN,RST -j DROP # FIN is the only bit set, without the expected accompanying ACK iptables -A INPUT -p tcp --tcp-flags ACK,FIN FIN -j DROP # PSH is the only bit set, without the expected accompanying ACK iptables -A INPUT -p tcp --tcp-flags ACK,PSH PSH -j DROP # URG is the only bit set, without the expected accompanying ACK iptables -A INPUT -p tcp --tcp-flags ACK,URG URG -j DROP ############################################################### # Using Connection State to By-pass Rule Checking if [ "$CONNECTION_TRACKING" = "1" ]; then iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT iptables -A OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT # Using the state module alone, INVALID will break protocols that use # bi-directional connections or multiple connections or exchanges, # unless an ALG is provided for the protocol. At this time, FTP and is # IRC are the only protocols with ALG support. iptables -A INPUT -m state --state INVALID -j LOG \ --log-prefix "INVALID input: " iptables -A INPUT -m state --state INVALID -j DROP iptables -A OUTPUT -m state --state INVALID -j LOG \ --log-prefix "INVALID ouput: " iptables -A OUTPUT -m state --state INVALID -j DROP fi ############################################################### # Source Address Spoofing and Other Bad Addresses # Refuse spoofed packets pretending to be from # the external interface´s IP address iptables -A INPUT -i $INTERNET -s $IPADDR -j DROP # Refuse packets claiming to be from a Class A private network iptables -A INPUT -i $INTERNET -s $CLASS_A -j DROP # Refuse packets claiming to be from a Class B private network iptables -A INPUT -i $INTERNET -s $CLASS_B -j DROP # Refuse packets claiming to be from a Class C private network iptables -A INPUT -i $INTERNET -s $CLASS_C -j DROP # Refuse packets claiming to be from the loopback interface iptables -A INPUT -i $INTERNET -s $LOOPBACK -j DROP # Refuse malformed broadcast packets iptables -A INPUT -i $INTERNET -s $BROADCAST_DEST -j LOG iptables -A INPUT -i $INTERNET -s $BROADCAST_DEST -j DROP iptables -A INPUT -i $INTERNET -d $BROADCAST_SRC -j LOG iptables -A INPUT -i $INTERNET -d $BROADCAST_SRC -j DROP #if [ "$DHCP_CLIENT" = "0" ]; then # Refuse directed broadcasts # Used to map networks and in Denial of Service attacks # iptables -A INPUT -i $INTERNET -d $SUBNET_BASE -j DROP #iptables -A INPUT -i $INTERNET -d $SUBNET_BROADCAST -j DROP # Refuse limited broadcasts iptables -A INPUT -i $INTERNET -d $BROADCAST_DEST -j DROP #fi # Refuse Class D multicast addresses # illegal as a source address iptables -A INPUT -i $INTERNET -s $CLASS_D_MULTICAST -j DROP iptables -A INPUT -i $INTERNET -p ! udp -d $CLASS_D_MULTICAST -j DROP iptables -A INPUT -i $INTERNET -p udp -d $CLASS_D_MULTICAST -j ACCEPT # Refuse Class E reserved IP addresses iptables -A INPUT -i $INTERNET -s $CLASS_E_RESERVED_NET -j DROP # refuse addresses defined as reserved by the IANA # 0.*.*.* - Can¹t be blocked unilaterally with DHCP # 169.254.0.0/16 - Link Local Networks # 192.0.2.0/24 - TEST-NET if [ "$DHCP_CLIENT" = "1" ]; then iptables -A INPUT -i $INTERNET -p udp \ -s $BROADCAST_SRC --sport 67 \ -d $BROADCAST_DEST --dport 68 -j ACCEPT fi iptables -A INPUT -i $INTERNET -s 0.0.0.0/8 -j DROP iptables -A INPUT -i $INTERNET -s 169.254.0.0/16 -j DROP iptables -A INPUT -i $INTERNET -s 192.0.2.0/24 -j DROP ############################################################### # Disallowing Connections to Common TCP Unprivileged Server Ports # X Window connection establishment iptables -A OUTPUT -o $INTERNET -p tcp --syn \ --destination-port $XWINDOW_PORTS -j REJECT # X Window: incoming connection attempt iptables -A INPUT -i $INTERNET -p tcp --syn \ --destination-port $XWINDOW_PORTS -j DROP # Establishing a connection over TCP to NFS, OpenWindows, SOCKS or squid iptables -A OUTPUT -o $INTERNET -p tcp \ -m multiport --destination-port \ $NFS_PORT,$OPENWINDOWS_PORT,$SOCKS_PORT,$SQUID_PORT \ --syn -j REJECT iptables -A INPUT -i $INTERNET -p tcp \ -m multiport --destination-port \ $NFS_PORT,$OPENWINDOWS_PORT,$SOCKS_PORT,$SQUID_PORT \ --syn -j DROP ############################################################### # Disallowing Connections to Common UDP Unprivileged Server Ports # NFS and lockd if [ "$CONNECTION_TRACKING" = "1" ]; then iptables -A OUTPUT -o $INTERNET -p udp \ -m multiport --destination-port $NFS_PORT,$LOCKD_PORT \ -m state --state NEW -j REJECT iptables -A INPUT -i $INTERNET -p udp \ -m multiport --destination-port $NFS_PORT,$LOCKD_PORT \ -m state --state NEW -j DROP else iptables -A OUTPUT -o $INTERNET -p udp \ -m multiport --destination-port $NFS_PORT,$LOCKD_PORT \ -j REJECT iptables -A INPUT -i $INTERNET -p udp \ -m multiport --destination-port $NFS_PORT,$LOCKD_PORT \ -j DROP fi ############################################################### # DNS Name Server # DNS Fowarding Name Server or client requests if [ "$CONNECTION_TRACKING" = "1" ]; then iptables -A OUTPUT -o $INTERNET -p udp \ -s $IPADDR --sport $UNPRIVPORTS \ -d $NAMESERVER --dport 53 \ -m state --state NEW -j ACCEPT fi iptables -A OUTPUT -o $INTERNET -p udp \ -s $IPADDR --sport $UNPRIVPORTS \ -d $NAMESERVER --dport 53 -j ACCEPT iptables -A INPUT -i $INTERNET -p udp \ -s $NAMESERVER --sport 53 \ -d $IPADDR --dport $UNPRIVPORTS -j ACCEPT #............................................................... # TCP is used for large responses if [ "$CONNECTION_TRACKING" = "1" ]; then iptables -A OUTPUT -o $INTERNET -p tcp \ -s $IPADDR --sport $UNPRIVPORTS \ -d $NAMESERVER --dport 53 \ -m state --state NEW -j ACCEPT fi iptables -A OUTPUT -o $INTERNET -p tcp \ -s $IPADDR --sport $UNPRIVPORTS \ -d $NAMESERVER --dport 53 -j ACCEPT iptables -A INPUT -i $INTERNET -p tcp ! --syn \ -s $NAMESERVER --sport 53 \ -d $IPADDR --dport $UNPRIVPORTS -j ACCEPT #............................................................... # DNS Caching Name Server (local server to primary server) if [ "$CONNECTION_TRACKING" = "1" ]; then iptables -A OUTPUT -o $INTERNET -p udp \ -s $IPADDR --sport 53 \ -d $NAMESERVER --dport 53 \ -m state --state NEW -j ACCEPT fi iptables -A OUTPUT -o $INTERNET -p udp \ -s $IPADDR --sport 53 \ -d $NAMESERVER --dport 53 -j ACCEPT iptables -A INPUT -i $INTERNET -p udp \ -s $NAMESERVER --sport 53 \ -d $IPADDR --dport 53 -j ACCEPT ############################################################### # Filtering the AUTH User Identification Service (TCP Port 113) # Outgoing Local Client Requests to Remote Servers if [ "$CONNECTION_TRACKING" = "1" ]; then iptables -A OUTPUT -o $INTERNET -p tcp \ -s $IPADDR --sport $UNPRIVPORTS \ --dport 113 -m state --state NEW -j ACCEPT fi iptables -A OUTPUT -o $INTERNET -p tcp \ -s $IPADDR --sport $UNPRIVPORTS \ --dport 113 -j ACCEPT iptables -A INPUT -i $INTERNET -p tcp ! --syn \ --sport 113 \ -d $IPADDR --dport $UNPRIVPORTS -j ACCEPT #............................................................... # Incoming Remote Client Requests to Local Servers if [ "$CONNECTION_TRACKING" = "1" ]; then iptables -A INPUT -i $INTERNET -p tcp \ --sport $UNPRIVPORTS \ -d $IPADDR --dport 113 \ -m state --state NEW -j ACCEPT fi if [ "$ACCEPT_AUTH" = "1" ]; then if [ "$CONNECTION_TRACKING" = "1" ]; then iptables -A INPUT -i $INTERNET -p tcp \ --sport $UNPRIVPORTS \ -d $IPADDR --dport 113 \ -m state --state NEW -j ACCEPT fi iptables -A INPUT -i $INTERNET -p tcp \ --sport $UNPRIVPORTS \ -d $IPADDR --dport 113 -j ACCEPT iptables -A OUTPUT -o $INTERNET -p tcp ! --syn \ -s $IPADDR --sport 113 \ --dport $UNPRIVPORTS -j ACCEPT else iptables -A INPUT -i $INTERNET -p tcp \ --sport $UNPRIVPORTS \ -d $IPADDR --dport 113 -j REJECT --reject-with tcp-reset fi ############################################################### # Sending Mail to Any External Mail Server # Use "-d $MAIL_SERVER" if an ISP mail gateway is used instead if [ "$CONNECTION_TRACKING" = "1" ]; then iptables -A OUTPUT -o $INTERNET -p tcp \ -s $IPADDR --sport $UNPRIVPORTS \ --dport 25 -m state --state NEW -j ACCEPT fi iptables -A OUTPUT -o $INTERNET -p tcp \ -s $IPADDR --sport $UNPRIVPORTS \ --dport 25 -j ACCEPT iptables -A INPUT -i $INTERNET -p tcp ! --syn \ --sport 25 \ -d $IPADDR --dport $UNPRIVPORTS -j ACCEPT ############################################################### # Retrieving Mail as a POP Client (TCP Port 110) if [ "$CONNECTION_TRACKING" = "1" ]; then iptables -A OUTPUT -o $INTERNET -p tcp \ -s $IPADDR --sport $UNPRIVPORTS \ -d $POP_SERVER --dport 110 -m state --state NEW -j ACCEPT fi iptables -A OUTPUT -o $INTERNET -p tcp \ -s $IPADDR --sport $UNPRIVPORTS \ -d $POP_SERVER --dport 110 -j ACCEPT iptables -A INPUT -i $INTERNET -p tcp ! --syn \ -s $POP_SERVER --sport 110 \ -d $IPADDR --dport $UNPRIVPORTS -j ACCEPT ############################################################### # Accessing Usenet News Services (TCP NNTP Port 119) if [ "$CONNECTION_TRACKING" = "1" ]; then iptables -A OUTPUT -o $INTERNET -p tcp \ -s $IPADDR --sport $UNPRIVPORTS \ -d $NEWS_SERVER --dport 119 -m state --state NEW -j ACCEPT fi iptables -A OUTPUT -o $INTERNET -p tcp \ -s $IPADDR --sport $UNPRIVPORTS \ -d $NEWS_SERVER --dport 119 -j ACCEPT iptables -A INPUT -i $INTERNET -p tcp ! --syn \ -s $NEWS_SERVER --sport 119 \ -d $IPADDR --dport $UNPRIVPORTS -j ACCEPT ############################################################### # ssh (TCP Port 22) # Outgoing Local Client Requests to Remote Servers if [ "$CONNECTION_TRACKING" = "1" ]; then iptables -A OUTPUT -o $INTERNET -p tcp \ -s $IPADDR --sport $SSH_PORTS \ --dport 22 -m state --state NEW -j ACCEPT fi iptables -A OUTPUT -o $INTERNET -p tcp \ -s $IPADDR --sport $SSH_PORTS \ --dport 22 -j ACCEPT iptables -A INPUT -i $INTERNET -p tcp ! --syn \ --source-port 22 \ -d $IPADDR --dport $SSH_PORTS -j ACCEPT #............................................................... # Incoming Remote Client Requests to Local Servers if [ "$SSH_SERVER" = "1" ]; then if [ "$CONNECTION_TRACKING" = "1" ]; then iptables -A INPUT -i $INTERNET -p tcp \ --sport $SSH_PORTS \ -d $IPADDR --dport 22 \ -m state --state NEW -j ACCEPT fi iptables -A INPUT -i $INTERNET -p tcp \ --sport $SSH_PORTS \ -d $IPADDR --dport 22 -j ACCEPT iptables -A OUTPUT -o $INTERNET -p tcp ! --syn \ -s $IPADDR --sport 22 \ --dport $SSH_PORTS -j ACCEPT fi ############################################################### # ftp (TCP Ports 21, 20) # Outgoing Local Client Requests to Remote Servers # Outgoing Control Connection to Port 21 if [ "$CONNECTION_TRACKING" = "1" ]; then iptables -A OUTPUT -o $INTERNET -p tcp \ -s $IPADDR --sport $UNPRIVPORTS \ --dport 21 -m state --state NEW -j ACCEPT fi iptables -A OUTPUT -o $INTERNET -p tcp \ -s $IPADDR --sport $UNPRIVPORTS \ --dport 21 -j ACCEPT iptables -A INPUT -i $INTERNET -p tcp ! --syn \ --sport 21 \ -d $IPADDR --dport $UNPRIVPORTS -j ACCEPT # Incoming Port Mode Data Channel Connection from Port 20 if [ "$CONNECTION_TRACKING" = "1" ]; then # This rule is not necessary if the ip_conntrack_ftp # module is used. iptables -A INPUT -i $INTERNET -p tcp \ --sport 20 \ -d $IPADDR --dport $UNPRIVPORTS \ -m state --state NEW -j ACCEPT fi iptables -A INPUT -i $INTERNET -p tcp \ --sport 20 \ -d $IPADDR --dport $UNPRIVPORTS -j ACCEPT iptables -A OUTPUT -o $INTERNET -p tcp ! --syn \ -s $IPADDR --sport $UNPRIVPORTS \ --dport 20 -j ACCEPT # Outgoing Passive Mode Data Channel Connection Between Unprivileveg Ports if [ "$CONNECTION_TRACKING" = "1" ]; then # This rule is not necessary if the ip_conntrack_ftp # module is used. iptables -A OUTPUT -o $INTERNET -p tcp \ -s $IPADDR --sport $UNPRIVPORTS \ --dport $UNPRIVPORTS -m state --state NEW -j ACCEPT fi iptables -A OUTPUT -o $INTERNET -p tcp \ -s $IPADDR --sport $UNPRIVPORTS \ --dport $UNPRIVPORTS -j ACCEPT iptables -A INPUT -i $INTERNET -p tcp ! --syn \ --sport $UNPRIVPORTS \ -d $IPADDR --dport $UNPRIVPORTS -j ACCEPT #............................................................... # Incoming Remote Client Requests to Local Servers if [ "$FTP_SERVER" = "1" ]; then # Incoming Control Connection to Port 21 if [ "$CONNECTION_TRACKING" = "1" ]; then iptables -A INPUT -i $INTERNET -p tcp \ --sport $UNPRIVPORTS \ -d $IPADDR --dport 21 \ -m state --state NEW -j ACCEPT fi iptables -A INPUT -i $INTERNET -p tcp \ --sport $UNPRIVPORTS \ -d $IPADDR --dport 21 -j ACCEPT iptables -A OUTPUT -o $INTERNET -p tcp ! --syn \ -s $IPADDR --sport 21 \ --dport $UNPRIVPORTS -j ACCEPT # Outgoing Port Mode Data Channel Connection to Port 20 if [ "$CONNECTION_TRACKING" = "1" ]; then iptables -A OUTPUT -o $INTERNET -p tcp \ -s $IPADDR --sport 20\ --dport $UNPRIVPORTS -m state --state NEW -j ACCEPT fi iptables -A OUTPUT -o $INTERNET -p tcp \ -s $IPADDR --sport 20 \ --dport $UNPRIVPORTS -j ACCEPT iptables -A INPUT -i $INTERNET -p tcp ! --syn \ --sport $UNPRIVPORTS \ -d $IPADDR --dport 20 -j ACCEPT # Incoming Passive Mode Data Channel Connection Between Unprivileved Ports if [ "$CONNECTION_TRACKING" = "1" ]; then iptables -A INPUT -i $INTERNET -p tcp \ --sport $UNPRIVPORTS \ -d $IPADDR --dport $UNPRIVPORTS \ -m state --state NEW -j ACCEPT fi iptables -A INPUT -i $INTERNET -p tcp \ --sport $UNPRIVPORTS \ -d $IPADDR --dport $UNPRIVPORTS -j ACCEPT iptables -A OUTPUT -o $INTERNET -p tcp ! --syn \ -s $IPADDR --sport $UNPRIVPORTS \ --dport $UNPRIVPORTS -j ACCEPT fi ############################################################### # HTTP Web Traffic (TCP Port 80) # Outgoing Local Client Requests to Remote Servers if [ "$CONNECTION_TRACKING" = "1" ]; then iptables -A OUTPUT -o $INTERNET -p tcp \ -s $IPADDR --sport $UNPRIVPORTS \ --dport 80 -m state --state NEW -j ACCEPT fi iptables -A OUTPUT -o $INTERNET -p tcp \ -s $IPADDR --sport $UNPRIVPORTS \ --dport 80 -j ACCEPT iptables -A INPUT -i $INTERNET -p tcp ! --syn \ --sport 80 \ -d $IPADDR --dport $UNPRIVPORTS -j ACCEPT #............................................................... # Incoming Remote Client Requests to Local Servers if [ "$WEB_SERVER" = "1" ]; then if [ "$CONNECTION_TRACKING" = "1" ]; then iptables -A INPUT -i $INTERNET -p tcp \ --sport $UNPRIVPORTS \ -d $IPADDR --dport 80 \ -m state --state NEW -j ACCEPT fi iptables -A INPUT -i $INTERNET -p tcp \ --sport $UNPRIVPORTS \ -d $IPADDR --dport 80 -j ACCEPT iptables -A OUTPUT -o $INTERNET -p tcp ! --syn \ -s $IPADDR --sport 80 \ --dport $UNPRIVPORTS -j ACCEPT fi ############################################################### # SSL Web Traffic (TCP Port 443) # Outgoing Local Client Requests to Remote Servers if [ "$CONNECTION_TRACKING" = "1" ]; then iptables -A OUTPUT -o $INTERNET -p tcp \ -s $IPADDR --sport $UNPRIVPORTS \ --dport 443 -m state --state NEW -j ACCEPT fi iptables -A OUTPUT -o $INTERNET -p tcp \ -s $IPADDR --sport $UNPRIVPORTS \ --dport 443 -j ACCEPT iptables -A INPUT -i $INTERNET -p tcp ! --syn \ --sport 443 \ -d $IPADDR --dport $UNPRIVPORTS -j ACCEPT #............................................................... # Incoming Remote Client Requests to Local Servers if [ "$SSL_SERVER" = "1" ]; then if [ "$CONNECTION_TRACKING" = "1" ]; then iptables -A INPUT -i $INTERNET -p tcp \ --sport $UNPRIVPORTS \ -d $IPADDR --dport 443 \ -m state --state NEW -j ACCEPT fi iptables -A INPUT -i $INTERNET -p tcp \ --sport $UNPRIVPORTS \ -d $IPADDR --dport 443 -j ACCEPT iptables -A OUTPUT -o $INTERNET -p tcp ! --syn \ -s $IPADDR --sport 443 \ --dport $UNPRIVPORTS -j ACCEPT fi ############################################################### # whois (TCP Port 43) # Outgoing Local Client Requests to Remote Servers if [ "$CONNECTION_TRACKING" = "1" ]; then iptables -A OUTPUT -o $INTERNET -p tcp \ -s $IPADDR --sport $UNPRIVPORTS \ --dport 43 -m state --state NEW -j ACCEPT fi iptables -A OUTPUT -o $INTERNET -p tcp \ -s $IPADDR --sport $UNPRIVPORTS \ --dport 43 -j ACCEPT iptables -A INPUT -i $INTERNET -p tcp ! --syn \ --sport 43 \ -d $IPADDR --dport $UNPRIVPORTS -j ACCEPT ############################################################### # Accessing Remote Network Time Servers (UDP 123) # Note: some client and servers use source port 123 # when querying a remote server on destination port 123. if [ "$CONNECTION_TRACKING" = "1" ]; then iptables -A OUTPUT -o $INTERNET -p udp \ -s $IPADDR --sport $UNPRIVPORTS \ -d $TIME_SERVER --dport 123 \ -m state --state NEW -j ACCEPT fi iptables -A OUTPUT -o $INTERNET -p udp \ -s $IPADDR --sport $UNPRIVPORTS \ -d $TIME_SERVER --dport 123 -j ACCEPT iptables -A INPUT -i $INTERNET -p udp \ -s $TIME_SERVER --sport 123 \ -d $IPADDR --dport $UNPRIVPORTS -j ACCEPT ############################################################### # Accessing Your ISP´s DHCP Server (UDP Ports 67, 68) # Some broadcast packets are explicitly ignored by the firewall. # Others are dopped by the default policy. # DHCP tests must precede broadcast-related rules, as DHCP relies # on broadcast traffic initially. if [ "$DHCP_CLIENT" = "1" ]; then # Initialization or rebinding: No lease or Lease time expired. iptables -A OUTPUT -o $INTERNET -p udp \ -s $BROADCAST_SRC --sport 68 \ -d $BROADCAST_DEST --dport 67 -j ACCEPT # Incoming DHCPOFFER from available DHCP servers iptables -A INPUT -i $INTERNET -p udp \ -s $BROADCAST_SRC --sport 67 \ -d $BROADCAST_DEST --dport 68 -j ACCEPT # Fall back to initialization # The client knows its server, but has either lost its lease, # or else needs to reconfirm the IP address after rebooting. iptables -A OUTPUT -o $INTERNET -p udp \ -s $BROADCAST_SRC --sport 68 \ -d $DHCP_SERVER --dport 67 -j ACCEPT iptables -A INPUT -i $INTERNET -p udp \ -s $DHCP_SERVER --sport 67 \ -d $BROADCAST_DEST --dport 68 -j ACCEPT # As a result of the above, we´re supposed to change our IP # address with this message, which is addressed to our new # address before the dhcp client has received the update. # Depending on the server implementation, the destination address # can be the new IP address, the subnet address, or the limited # broadcast address. # If the network subnet address is used as the destination, # the next rule must allow incoming packets destined to the # subnet address, and the rule must preceed any general rules # that block such incoming broadcast packets. iptables -A INPUT -i $INTERNET -p udp \ -s $DHCP_SERVER --sport 67 \ --dport 68 -j ACCEPT # Lease renewal iptables -A OUTPUT -o $INTERNET -p udp \ -s $IPADDR --sport 68 \ -d $DHCP_SERVER --dport 67 -j ACCEPT iptables -A INPUT -i $INTERNET -p udp \ -s $DHCP_SERVER --sport 67 \ -d $IPADDR --dport 68 -j ACCEPT # Refuse directed broadcasts # Used to map networks and in Denial of Service attacks #iptables -A INPUT -i $INTERNET -d $SUBNET_BASE -j DROP #iptables -A INPUT -i $INTERNET -d $SUBNET_BROADCAST -j DROP # Refuse limited broadcasts iptables -A INPUT -i $INTERNET -d $BROADCAST_DEST -j DROP fi ############################################################### # ICMP Control and Status Messages # Log and drop initial ICMP fragments iptables -A INPUT -i $INTERNET --fragment -p icmp -j LOG \ --log-prefix "Fragmented incoming ICMP: " iptables -A INPUT -i $INTERNET --fragment -p icmp -j DROP iptables -A OUTPUT -o $INTERNET --fragment -p icmp -j LOG \ --log-prefix "Fragmented outgoing ICMP: " iptables -A OUTPUT -o $INTERNET --fragment -p icmp -j DROP iptables -A INPUT -i $INTERNET -p icmp \ --icmp-type source-quench -d $IPADDR -j ACCEPT iptables -A OUTPUT -o $INTERNET -p icmp \ -s $IPADDR --icmp-type source-quench -j ACCEPT iptables -A INPUT -i $INTERNET -p icmp \ --icmp-type parameter-problem -d $IPADDR -j ACCEPT iptables -A OUTPUT -o $INTERNET -p icmp \ -s $IPADDR --icmp-type parameter-problem -j ACCEPT iptables -A INPUT -i $INTERNET -p icmp \ --icmp-type destination-unreachable -d $IPADDR -j ACCEPT iptables -A OUTPUT -o $INTERNET -p icmp \ -s $IPADDR --icmp-type fragmentation-needed -j ACCEPT # Don¹t log dropped outgoing ICMP error messages iptables -A OUTPUT -o $INTERNET -p icmp \ -s $IPADDR --icmp-type destination-unreachable -j DROP # Intermediate traceroute responses iptables -A INPUT -i $INTERNET -p icmp \ --icmp-type time-exceeded -d $IPADDR -j ACCEPT # allow outgoing pings to anywhere if [ "$CONNECTION_TRACKING" = "1" ]; then iptables -A OUTPUT -o $INTERNET -p icmp \ -s $IPADDR --icmp-type echo-request \ -m state --state NEW -j ACCEPT fi iptables -A OUTPUT -o $INTERNET -p icmp \ -s $IPADDR --icmp-type echo-request -j ACCEPT iptables -A INPUT -i $INTERNET -p icmp \ --icmp-type echo-reply -d $IPADDR -j ACCEPT # allow incoming pings from trusted hosts #if [ "$CONNECTION_TRACKING" = "1" ]; then #iptables -A INPUT -i $INTERNET -p icmp \ #-s $MY_ISP --icmp-type echo-request -d $IPADDR \ #-m state --state NEW -j ACCEPT #fi #iptables -A INPUT -i $INTERNET -p icmp \ #-s $MY_ISP --icmp-type echo-request -d $IPADDR -j ACCEPT #iptables -A OUTPUT -o $INTERNET -p icmp \ #-s $IPADDR --icmp-type echo-reply -d $MY_ISP -j ACCEPT ############################################################### # Logging Dropped Packets # Don´t log dropped incoming echo-requests iptables -A INPUT -i $INTERNET -p icmp \ --icmp-type ! 8 -d $IPADDR -j LOG iptables -A INPUT -i $INTERNET -p tcp \ -d $IPADDR -j LOG iptables -A OUTPUT -o $INTERNET -j LOG exit 0 </BLOCKQUOTE></TD></TR><TR><TD><HR></TD></TR></TABLE> Siccome non sapevo cosa fossero i sottoindicati parametri: <TABLE BORDER=0 ALIGN=CENTER WIDTH=85%><TR><TD>Quote:<HR></TD></TR><TR><TD><BLOCKQUOTE> #SUBNET_BASE="" # ISP network segment base address #SUBNET_BROADCAST="" # network segment broadcast address #MY_ISP="" # ISP server & NOC address range </BLOCKQUOTE></TD></TR><TR><TD><HR></TD></TR></TABLE> ho pensato bene di commentarli sia nella parte iniziale dello script sia all´interno del firewall vero e proprio, in quanto se lasciati "vuoti" e decommentati originano una serie di bad argument da parte di iptables! Ora il firewall "funziona" e sono in grado di fare tutto! Vorrei un vostro parere sulle modifiche da me apportate in quanto non vorrei che fossere delle bestiate come quella che apportai al primo script! In sostanza, così modificato lo script filtra oppure ho fatto un´altra scemenza? Have anice day

da **gerardo_sl** » dom mag 01, 2005 4:52

Che strano: Useless é scomparso! <TABLE BORDER=0 ALIGN=CENTER WIDTH=85%><TR><TD>Quote:<HR></TD></TR><TR><TD><BLOCKQUOTE> MAIL_SERVER="out.aliceposta.it" # address of a remote mail gateway </BLOCKQUOTE></TD></TR><TR><TD><HR></TD></TR></TABLE> Questa variabile non é valida, se non é definita nel file /etc/hosts. La ragione per la quale riesci comunque ad accedere alla posta è che é discrezionale e la regola non la implica. In effetti può essere utile se si impiega un server di posta interno ad una LAN. <TABLE BORDER=0 ALIGN=CENTER WIDTH=85%><TR><TD>Quote:<HR></TD></TR><TR><TD><BLOCKQUOTE> #SUBNET_BASE="" # ISP network segment base address #SUBNET_BROADCAST="" # network segment broadcast address</BLOCKQUOTE></TD></TR><TR><TD><HR></TD></TR></TABLE> Queste due variabili sono implicate da due regole per attacchi DOS. Nel firewall che ti posta più sotto le ho attivate: se ti danno fastidio puoi commentarle. <TABLE BORDER=0 ALIGN=CENTER WIDTH=85%><TR><TD>Quote:<HR></TD></TR><TR><TD><BLOCKQUOTE> #MY_ISP="" # ISP server & NOC address range </BLOCKQUOTE></TD></TR><TR><TD><HR></TD></TR></TABLE> E´ impiegata per abilitare il ping all´IP definito. Io ti ho scritto quello che dovrebbe essere l´indirizzo del tuo router, ma potresti mettere quello del gateway del tuo provider: serve a provare lo stato della linea. <TABLE BORDER=0 ALIGN=CENTER WIDTH=85%><TR><TD>Quote:<HR></TD></TR><TR><TD><BLOCKQUOTE> DHCP_SERVER="any/0" # address of your ISP dhcp server </BLOCKQUOTE></TD></TR><TR><TD><HR></TD></TR></TABLE> Se usi il DHCP, é quello del router (tu sei client del router, é il router ad essere client del provider); ma é conveniente utilizzare l´IP statico se possibile (credo che sia la tua situazione). Ora, nell´allegato, il firewall sfrondato di tutto quello che non dovrebbe servire; é previsto per IP statico, con DHCP non funzionerebbe, in questo caso imponi al tuo router di assegnarti un indirizzo fisso. Lo sto usando io in questo momento, per cui funziona. Spero di non avere dimenticato nulla. Avrei dovuto guardare meglio le regole icmp, ma mi é venuto il mal di testa.

da **salbutamolo** » dom mag 01, 2005 8:23

Ciao a tutti, fantastico grazie ho apportato le necessarie modifiche e tutto va a cannone. Vi ringrazio soprattutto delle pazienti spiegazioni riguardo al funzionamento del firewall...ora ne so un po´ di più! Buona domenica a tutti

Chi c’è in linea