Ubuntu iptables script
Fórumok
Sziasztok!
Egy netes leírás alapján készítettem egy firewall scriptet,
ami nem nagyon akar működni. Elindítása után még a http sem
megy :(
Bár NAT-os scriptből alakítottam át. Nem akarok NAT-olni,
csak a helyi gépet akarom védeni. Nem közvetlenül külső
ip-m van, hanem egy belső hálóról csatlakozok ki a netre egy
gatewayen keresztül. Részben a net-es támadóktól, részben a
szomszédos gépektől akarom megvédeni.
echo "0" > /proc/sys/net/ipv4/ip_forward
$IPTABLES -P INPUT DROP
$IPTABLES -P OUTPUT DROP
$IPTABLES -P FORWARD DROP
$IPTABLES -N rossz_tcp_csomagok
$IPTABLES -N megengedett
$IPTABLES -N tcp_csomagok
$IPTABLES -N udp_csomagok
$IPTABLES -N icmp_csomagok
# rossz csomagok
# $IPTABLES -A rossz_tcp_csomagok -p tcp --tcp-flags SYN,ACK SYN,ACK \
# -m state --state NEW -j REJECT --reject-with tcp-reset
# $IPTABLES -A rossz_tcp_csomagok -p tcp ! --syn -m state --state NEW -j LOG \
# --log-prefix "New not syn:"
# $IPTABLES -A rossz_tcp_csomagok -p tcp ! --syn -m state --state NEW -j DROP
# megengedett
$IPTABLES -A megengedett -p TCP --syn -j ACCEPT
$IPTABLES -A megengedett -p TCP -m state --state ESTABLISHED,RELATED -j ACCEPT
$IPTABLES -A megengedett -p TCP -j DROP
# TCP szabalyok
$IPTABLES -A tcp_csomagok -p TCP -s 0/0 --dport 21 -j megengedett
$IPTABLES -A tcp_csomagok -p TCP -s 0/0 --dport 22 -j megengedett
$IPTABLES -A tcp_csomagok -p TCP -s 0/0 --dport 80 -j megengedett
$IPTABLES -A tcp_csomagok -p TCP -s 0/0 --dport 113 -j megengedett
# UDP ports
$IPTABLES -A udp_csomagok -p UDP -s 0/0 --destination-port 53 -j ACCEPT
$IPTABLES -A udp_csomagok -p UDP -s 0/0 --destination-port 123 -j ACCEPT
$IPTABLES -A udp_csomagok -p UDP -s 0/0 --destination-port 2074 -j ACCEPT
$IPTABLES -A udp_csomagok -p UDP -s 0/0 --destination-port 4000 -j ACCEPT
# windowsos broadcast ellen:
# $IPTABLES -A udp_csomagok -p UDP -i eth0 -d $BRCAST \
# --destination-port 135:139 -j DROP
# DHCP keresek ellen:
# $IPTABLES -A udp_csomagok -p UDP -i eth0 -d 255.255.255.255 \
# --destination-port 67:68 -j DROP
# ICMP szabalyok
$IPTABLES -A icmp_csomagok -p ICMP -s 0/0 --icmp-type 8 -j ACCEPT
$IPTABLES -A icmp_csomagok -p ICMP -s 0/0 --icmp-type 11 -j ACCEPT
# INPUT lanc:
# rossz TCP csomagok:
$IPTABLES -A INPUT -p tcp -j rossz_tcp_csomagok
# windowsos multicast ellen
# $IPTABLES -A INPUT -i eth0 -d 224.0.0.0/8 -j DROP
# fura csomagok:
# $IPTABLES -A INPUT -m limit --limit 3/minute --limit-burst 3 -j LOG \
# --log-level DEBUG --log-prefix "IPT INPUT packet died: "
# OUTPUT lanc:
# rossz TCP csomagok
$IPTABLES -A OUTPUT -p tcp -j rossz_tcp_csomagok
# szabalyok:
$IPTABLES -A OUTPUT -p ALL -s 127.0.0.1 -j ACCEPT
$IPTABLES -A OUTPUT -p ALL -s $IPCIMEM -j ACCEPT
# fura csomagok:
# $IPTABLES -A OUTPUT -m limit --limit 3/minute --limit-burst 3 -j LOG \
# --log-level DEBUG --log-prefix "IPT OUTPUT packet died: "
- Tovább (Ubuntu iptables script)
- 2056 megtekintés