Üdv, a netmegosztással lenne problémám SLES10-en. Ugyan azt a tűzfal szkriptet használom amit a SuSe 10.1-ben is.
#!/bin/bash
echo "Start firewall input and output filter..."
# szukseges modul betoltese
modprobe ip_conntrack_ftp
# lancok alaphelyzetbe allitasa
iptables -P INPUT DROP
iptables -P OUTPUT DROP
iptables -P FORWARD DROP
iptables -F
iptables -X
iptables -N in_attack
iptables -N drop_icmp
#---------------------------INPUT-------------------------------
iptables -A INPUT -i lo -j ACCEPT
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -i eth0 -p icmp -j ACCEPT
iptables -A INPUT -p icmp --icmp-type echo-reply -m state --state ESTABLISHED,RELATED -j drop_icmp
iptables -A INPUT -p icmp --icmp-type echo-request -m state --state NEW -j drop_icmp
iptables -A INPUT -d 255.255.255.255 -j DROP
iptables -A INPUT -d 224.0.0.0/8 -j DROP
# samba engedese
iptables -A INPUT -i eth0 -p udp --sport 137 --dport 137 -j ACCEPT
iptables -A INPUT -i eth0 -p udp --sport 138 --dport 138 -j ACCEPT
iptables -A INPUT -i eth0 -p tcp --dport 445 -j ACCEPT
iptables -A INPUT -i eth0 -p tcp --dport 139 -j ACCEPT
# LAN felol a 80-as port engedese
iptables -A INPUT -i eth0 -p tcp --dport 80 -j ACCEPT
# gyanus csomagok eldobasa
iptables -A INPUT -i eth1 -s 192.168.0.0/16 -j in_attack
iptables -A INPUT -i eth1 -s 172.16.0.0/16 -j in_attack
iptables -A INPUT -i eth1 -s 10.0.0.0/8 -j in_attack
iptables -A INPUT -i eth0 -s ! 192.168.2.0/24 -j in_attack
# ssh beengedese es loggolasa
iptables -A INPUT -p tcp --dport 22 -m limit --limit 3/min --limit-burst 1 -j LOG --log-prefix "ssh_befele: "
iptables -A INPUT -p tcp --dport 22 -m limit --limit 1/hour --limit-burst 1 -j ACCEPT
iptables -A INPUT -p tcp --dport 22 -m limit --limit 1/min --limit-burst 1 -j LOG --log-prefix "3_sikertelen_probalkozas: "
# minden mas eldobasa elotte loggolasa
iptables -A INPUT -m limit --limit 3/min --limit-burst 1 -j LOG --log-prefix "tiltott_bejovo_kapcsolat: "
iptables -A INPUT -j DROP
#-------------------------OUTPUT--------------------------------
iptables -A OUTPUT -o lo -j ACCEPT
iptables -A OUTPUT -d 255.255.255.255 -j DROP
iptables -A OUTPUT -d 224.0.0.0/8 -j DROP
iptables -A OUTPUT -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
# gaim(1863),novell-zen(2544),irc(6667)
iptables -A OUTPUT -m state --state NEW -p tcp -m multiport --dport 20,21,22,25,80,8080,110,443,1863,2544,6667 -j ACCEPT
iptables -A OUTPUT -m state --state NEW -p udp --dport 21 -j ACCEPT
# dns
iptables -A OUTPUT -p udp --dport 53 -j ACCEPT
# minden mas loggolva lesz
iptables -A OUTPUT -m limit --limit 3/min -j LOG --log-prefix "DROP_OUT_PACK: "
iptables -A OUTPUT -j DROP
#--------------------in_attack-------------------------------
iptables -A in_attack -j LOG --log-prefix "in_attack: "
iptables -A in_attack -j DROP
#--------------------accept_icmp---------------------------------
iptables -A drop_icmp -m limit --limit 3/min --limit-burst 3 -j LOG --log-prefix "kitiltott_ping: "
iptables -A drop_icmp -j DROP
#------------------------------------------------------------
#----ezek akkor lesznek érvényesek ha lesz belső hálózat-----
#------------------------------------------------------------
# NAT letrehozasa
echo "1" > /proc/sys/net/ipv4/ip_forward
iptables -t nat -A POSTROUTING -o eth0 -s 192.168.2.0/24 -j MASQUERADE
# Syn-flood vedelem:
iptables -A FORWARD -p tcp --syn -m limit --limit 1/s -j ACCEPT
# Alattomos portscan elleni vedelem:
iptables -A FORWARD -p tcp --tcp-flags SYN,ACK,FIN,RST RST -m limit --limit 1/s -j ACCEPT
# A halál pingje elleni vedelem:
iptables -A FORWARD -p icmp --icmp-type echo-request -m limit --limit 1/s -j ACCEPT
# forgalom beállítása
iptables -A FORWARD -i eth0 -o eth1 -j ACCEPT
iptables -A FORWARD -i eth1 -o eth0 -j ACCEPT
# minden mas loggolva lesz
iptables -A FORWARD -m limit --limit 3/min -j LOG --log-prefix "DROP_forward_PACK: "
iptables -A FORWARD -j DROP
Így néz ki. Logot nem kapok edobott csomagokról. Egyszerűen csak nem megy.
Az eth0 = a lan interfész eth1 pedig az internet felé néz.