iptables gondok

Kedves Fórumozók!

A segítségeteket szeretném kérni. Adott az itt leírt hálózat.
A 2022-es portot kiforwardoltam a Linksys routeremre, viszont bárhogy próbálom nem sikerül kívülről becsatlakozni 2022-es porton futó openssh kiszolgálóra. A csomagok megjelennek a syslogban, viszont az ssh kliens timeoutol, a GRC ShieldsUP!!-ja meg azt mondja, hogy Stealth a 2022 port az én ip címemen. A haver nmappal megnézte a gépem ezen portját, és "filtered" lett az eredmény. Ezek után eléggé tanácstalan vagyok, mert mind a grc csomagjait, mind a haver csomagjait az elsők között ACCEPT-elem, úgyhogy a leghalványabb fogalmam sincs, hogy miért nem lehet csatlakozni az ssh kiszolgálóhoz.Legyetek szívesek adjatok valami tanácsot, mert már kifogytam az ötletekből. Köszi.

Üdv:
János

Itt az rc.firewall-om tartalma:

#!/bin/bash
IPTABLES=`which iptables`
IP6TABLES=`which ip6tables`
IFCONFIG=`which ifconfig`
GREP=`which grep`
CUT=`which cut`
LO_IF="lo"
MAIN_IF="eth0"
#CURRENT_IP=`$IFCONFIG $MAIN_IF | $GREP "inet addr" | $CUT -c 21-32`
CURRENT_IP="192.168.1.2"
PRI_DNS="192.168.1.1"
LOCALNET="192.168.1.0/24"
HAVER_IP="AAA.BBB.CCC.DDD"
GRC_IP="4.79.142.206"
#koli
DORM_SERVER="EEE.FFF.GGG.HHH"

#proxy
UNIVERSITY_PROXY1=`nslookup UNIPROXY | tail -n 4 | grep "Address: " | cut -c 10-`
UNIVERSITY_PROXY2=`nslookup UNIPROXY2 | tail -n 4 | grep "Address: " | cut -c 10-`
UNIVERSITY_PROXY1_BACKUP="III.JJJ.KKK.LLL"
UNIVERSITY_PROXY2_BACKUP="MMM.NNN.OOO.PPP"


resolve_proxy() {
    if [ "$UNIVERSITY_PROXY1" = "" ]; then
	UNIVERSITY_PROXY1="$UNIVERSITY_PROXY1_BACKUP"
        echo "FW: UNIPROXY is assumed to be: $UNIVERSITY_PROXY1"
    else
	echo "FW: UNIPROXY is: $UNIVERSITY_PROXY1"
    fi

    if [ "$UNIVERSITY_PROXY2" = "" ]; then
	UNIVERSITY_PROXY2="$UNIVERSITY_PROXY2_BACKUP"
        echo "FW: UNIPROXY2 is assumed to be: $UNIVERSITY_PROXY2"
    else
	echo "FW: UNIPROXY2 is: $UNIVERSITY_PROXY2"
    fi
}

firewall_start() {
    resolve_proxy

    $IPTABLES -P OUTPUT ACCEPT
    $IPTABLES -P INPUT DROP
    $IPTABLES -P FORWARD DROP
    $IP6TABLES -P INPUT DROP
    $IP6TABLES -P OUTPUT DROP
    $IP6TABLES -P FORWARD DROP

    #drop invalid packages
    $IPTABLES -A INPUT -m state --state INVALID -j DROP

    $IPTABLES -N ssh
    $IPTABLES -N csillu
    $IPTABLES -N icmp_security
    $IPTABLES -N tcp_security

    #enable logging
    #$IPTABLES -A INPUT -j LOG --log-prefix "FW: Incoming packet: "

    #ban csillu
    $IPTABLES -A csillu -p ICMP --icmp-type echo-reply -j ACCEPT
    $IPTABLES -A csillu -p ICMP -j DROP
    $IPTABLES -A csillu -p TCP --syn -j DROP
    $IPTABLES -A csillu -p UDP -j DROP

    #ssh chain
    $IPTABLES -A ssh -j LOG --log-prefix "FW: Incoming ssh connection: "
    $IPTABLES -A ssh -s $LOCALNET -j ACCEPT
    $IPTABLES -A ssh -s $DORM_SERVER -j ACCEPT
    $IPTABLES -A ssh -s $UNIVERSITY_PROXY1 -j ACCEPT
    $IPTABLES -A ssh -s $UNIVERSITY_PROXY2 -j ACCEPT
    $IPTABLES -A ssh -m limit --limit 3/s --limit-burst 10 -j ACCEPT
    #$IPTABLES -A ssh -p TCP -j REJECT --reject-with tcp-reset
    $IPTABLES -A ssh -p TCP -j DROP

    #icmp_security chain
    #ping of death
    $IPTABLES -A icmp_security -p ICMP --icmp-type echo-request -m limit --limit 3/s --limit-burst 10 -j ACCEPT
    $IPTABLES -A icmp_security -p ICMP --icmp-type echo-request -j REJECT
    $IPTABLES -A icmp_security -p ICMP --icmp-type timestamp-request -m limit --limit 3/s --limit-burst 10 -j ACCEPT
    $IPTABLES -A icmp_security -p ICMP --icmp-type timestamp-request -j REJECT

    #tcp_security chain
    #tcp portscans
    $IPTABLES -A tcp_security -p TCP --tcp-flags ALL NONE -j DROP
    $IPTABLES -A tcp_security -p TCP --tcp-flags ALL ALL -j DROP
    $IPTABLES -A tcp_security -p TCP --tcp-flags ALL FIN,URG,PSH -j DROP
    $IPTABLES -A tcp_security -p TCP --tcp-flags SYN,RST SYN,RST -j DROP
    $IPTABLES -A tcp_security -p TCP --tcp-flags SYN,FIN SYN,FIN -j DROP
    $IPTABLES -A tcp_security -p TCP --tcp-flags FIN,RST SYN,RST -j DROP
    $IPTABLES -A tcp_security -p TCP --tcp-flags ACK,FIN FIN -j DROP
    $IPTABLES -A tcp_security -p TCP --tcp-flags ACK,URG URG -j DROP
    $IPTABLES -A tcp_security -p TCP --tcp-flags ACK,PSH PSH -j DROP
    $IPTABLES -A tcp_security -p TCP --syn -m state --state ! NEW -j DROP
    #syn storm
    $IPTABLES -A tcp_security -p TCP --syn -m limit --limit 5/s --limit-burst 20 -j RETURN
    $IPTABLES -A tcp_security -p TCP --syn -s ! $LOCALNET -j REJECT --reject-with tcp-reset


    $IPTABLES -A INPUT -s $HAVER_IP -j LOG --log-prefix "FW: Haver SSH: "
    $IPTABLES -A INPUT -s $HAVER_IP -j ACCEPT
    $IPTABLES -A INPUT -s $GRC_IP -j LOG --log-prefix "FW: ShieldsUP! SSH: "
    $IPTABLES -A INPUT -p TCP -s $GRC_IP -j ACCEPT
    $IPTABLES -A INPUT -s 192.168.1.101 -j csillu

    #allow established,related with everybody
    $IPTABLES -A INPUT -s ! $LOCALNET -m state --state ESTABLISHED,RELATED -j ACCEPT

    $IPTABLES -A INPUT -p ICMP -j icmp_security
    $IPTABLES -A INPUT -p TCP -j tcp_security

    #enable loopback iface
    $IPTABLES -A INPUT -i $LO_IF -j ACCEPT

    #accept all localnet connections
    $IPTABLES -A INPUT -s $LOCALNET -j ACCEPT

    #ssh
    $IPTABLES -A INPUT -p TCP --dport 2022 -j ssh
    $IPTABLES -A INPUT -p UDP --dport ! 2022 -j ACCEPT
}

firewall_stop() {
    $IPTABLES -F
    $IPTABLES -X

    $IPTABLES -P OUTPUT ACCEPT
    $IPTABLES -P INPUT ACCEPT
    $IPTABLES -P FORWARD ACCEPT
    $IP6TABLES -P INPUT ACCEPT
    $IP6TABLES -P OUTPUT ACCEPT
    $IP6TABLES -P FORWARD ACCEPT
}

firewall_restart() {
    $IFCONFIG $MAIN_IF down
    firewall_stop
    sleep 2
    firewall_start
    $IFCONFIG $MAIN_IF up
}

if [ "$1" = "restart" ]; then
    echo "Restarting firewall... "
    firewall_restart
elif [ "$1"  = "stop" ]; then
    echo -n "Stopping firewall... "
    firewall_stop
elif [ "$1" = "start" ]; then
    echo "Starting firewall... "
    firewall_start
else
    echo "Usage: rc.firewall start/stop/restart"
fi
echo "Done."