Ubuntu iptables script

Sziasztok!

Egy netes leírás alapján készítettem egy firewall scriptet,
ami nem nagyon akar működni. Elindítása után még a http sem
megy :(
Bár NAT-os scriptből alakítottam át. Nem akarok NAT-olni,
csak a helyi gépet akarom védeni. Nem közvetlenül külső
ip-m van, hanem egy belső hálóról csatlakozok ki a netre egy
gatewayen keresztül. Részben a net-es támadóktól, részben a
szomszédos gépektől akarom megvédeni.

echo "0" > /proc/sys/net/ipv4/ip_forward

$IPTABLES -P INPUT DROP
$IPTABLES -P OUTPUT DROP
$IPTABLES -P FORWARD DROP

$IPTABLES -N rossz_tcp_csomagok
$IPTABLES -N megengedett
$IPTABLES -N tcp_csomagok
$IPTABLES -N udp_csomagok
$IPTABLES -N icmp_csomagok


# rossz csomagok
# $IPTABLES -A rossz_tcp_csomagok -p tcp --tcp-flags SYN,ACK SYN,ACK \
#             -m state --state NEW -j REJECT --reject-with tcp-reset	     
# $IPTABLES -A rossz_tcp_csomagok -p tcp ! --syn -m state --state NEW -j LOG \
#	     --log-prefix "New not syn:"
# $IPTABLES -A rossz_tcp_csomagok -p tcp ! --syn -m state --state NEW -j DROP

# megengedett
$IPTABLES -A megengedett -p TCP --syn -j ACCEPT
$IPTABLES -A megengedett -p TCP -m state --state ESTABLISHED,RELATED -j ACCEPT
$IPTABLES -A megengedett -p TCP -j DROP

# TCP szabalyok
$IPTABLES -A tcp_csomagok -p TCP -s 0/0 --dport 21 -j megengedett
$IPTABLES -A tcp_csomagok -p TCP -s 0/0 --dport 22 -j megengedett
$IPTABLES -A tcp_csomagok -p TCP -s 0/0 --dport 80 -j megengedett
$IPTABLES -A tcp_csomagok -p TCP -s 0/0 --dport 113 -j megengedett

# UDP ports
$IPTABLES -A udp_csomagok -p UDP -s 0/0 --destination-port 53 -j ACCEPT
$IPTABLES -A udp_csomagok -p UDP -s 0/0 --destination-port 123 -j ACCEPT
$IPTABLES -A udp_csomagok -p UDP -s 0/0 --destination-port 2074 -j ACCEPT
$IPTABLES -A udp_csomagok -p UDP -s 0/0 --destination-port 4000 -j ACCEPT

# windowsos broadcast ellen:
# $IPTABLES -A udp_csomagok -p UDP -i eth0 -d $BRCAST \
#             --destination-port 135:139 -j DROP
	     
# DHCP keresek ellen:
# $IPTABLES -A udp_csomagok -p UDP -i eth0 -d 255.255.255.255 \
#             --destination-port 67:68 -j DROP
	     
# ICMP szabalyok
$IPTABLES -A icmp_csomagok -p ICMP -s 0/0 --icmp-type 8 -j ACCEPT
$IPTABLES -A icmp_csomagok -p ICMP -s 0/0 --icmp-type 11 -j ACCEPT


# INPUT lanc:

# rossz TCP csomagok:
$IPTABLES -A INPUT -p tcp -j rossz_tcp_csomagok

# windowsos multicast ellen
# $IPTABLES -A INPUT -i eth0 -d 224.0.0.0/8 -j DROP

# fura csomagok:
# $IPTABLES -A INPUT -m limit --limit 3/minute --limit-burst 3 -j LOG \
#             --log-level DEBUG --log-prefix "IPT INPUT packet died: "
	     
# OUTPUT lanc:

# rossz TCP csomagok
$IPTABLES -A OUTPUT -p tcp -j rossz_tcp_csomagok

# szabalyok:
$IPTABLES -A OUTPUT -p ALL -s 127.0.0.1 -j ACCEPT
$IPTABLES -A OUTPUT -p ALL -s $IPCIMEM -j ACCEPT

# fura csomagok:
# $IPTABLES -A OUTPUT -m limit --limit 3/minute --limit-burst 3 -j LOG \
#             --log-level DEBUG --log-prefix "IPT OUTPUT packet died: "