script iptables

par **Sebastien65** » 06 Déc 2003 14:30

Salut, Donc vu que je n'arrive pas a faire marcher portsentry correctement et je n'arrive pas a faire un blocage du ping correcte je décide donc de me faire un script afin de l'installer et l'exécuter sur ma SME... Donc je récapitules les actions que doit accomplir le script et la je dois dire que j'aurais besoin des BOSS de l'IPTABLES... Alors je veux bloquer le PING, ensuite j'aimerais aussi que lorsque on me scanne, on ne voit pas les ports qui sont utilisé sur ma machine... En fait faudrait que je face le mort... Vous voyez ce que je veux dire j'espère ??? Donc ma SME me sert pour server WWW, FTP, WebMail, Server de fichier Windows, Partage de connexion/Firewall, Redirection DynDNS sur le WWW... Donc voici un peux mon espèce de script et que j'espère vous m'aiderez a constituer <IMG SRC="images/smiles/icon_help.gif"> ------------ #!/bin/sh #Fichier Config Firewall SME Server #Dur dur Iptables #Début de la config : #REMISE à ZERO des regles de filtrage iptables -t nat -P PREROUTING ACCEPT iptables -t nat -P POSTROUTING ACCEPT iptables -t nat -P OUTPUT ACCEPT iptables -F iptables -t nat -F iptables -X iptables -t nat -X #Autorisation boucle locale #et reseau local iptables -A INPUT -i lo -j ACCEPT iptables -A OUTPUT -o lo -j ACCEPT iptables -A INPUT -i eth0 -j ACCEPT iptables -A OUTPUT -o eth0 -j ACCEPT # Translation d'adresses pour tout ce qui traverse la passerelle # en sortant par ppp0 iptables -t nat -A POSTROUTING -o ppp0 -j MASQUERADE # Toutes les connexions qui sortent du LAN vers le Net # sont acceptées iptables -A FORWARD -i eth0 -o ppp0 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT # Seules les connexions déjà établies ou en relation avec # des connexions établies sont acceptées venant du Net vers le LAN iptables -A FORWARD -i ppp0 -o eth0 -m state --state ESTABLISHED,RELATED -j ACCEPT # Accès SSH depuis le Net #iptables -A INPUT -p tcp --dport ssh -i ppp0 -j ACCEPT #iptables -A OUTPUT -p tcp --sport ssh -o ppp0 -j ACCEPT # Acces server web iptables -A INPUT -p tcp --dport http -i ppp0 -j ACCEPT iptables -A OUTPUT -p tcp --sport http -o ppp0 -j ACCEPT # Acces FTP iptables -A INPUT -p tcp --dport 21 -i ppp0 -j ACCEPT iptables -A OUTPUT -p tcp --sport 21 -o ppp0 -j ACCEPT iptables -A INPUT -p tcp --dport 20 -i ppp0 -j ACCEPT iptables -A OUTPUT -p tcp --sport 20 -o ppp0 -j ACCEPT iptables -A INPUT -p tcp --dport 1024:65535 -i ppp0 -j ACCEPT iptables -A OUTPUT -p tcp --sport 1024:65535 -o ppp0 -j ACCEPT # Acces pop3 iptables -A INPUT -p tcp --dport 25 -i ppp0 -j ACCEPT #iptables -A OUTPUT -p tcp --sport 25 -o ppp0 -j ACCEPT # Bloquer Ping echo 1 > /proc/sys/net/ipv4/ip_forward iptables -A FORWARD -i eth0 -o ppp0 -j ACCEPT iptables -A FORWARD -o eth0 -i ppp0 -j ACCEPT if [ -e /proc/sys/net/ipv4/conf/all/rp_filter ] then for filtre in /proc/sys/net/ipv4/conf/*/rp_filter do echo 1 > $filtre done fi #Fin du fichier de Config. -------------------------------------------------------------------- Sinon j'ai vu que je pouvais utiliser sa pour le blocage du ping : #Not spoofing and traffic ICMP if [ -e /proc/sys/net/ipv4/conf/all/rp_filter ] then for filtre in /proc/sys/net/ipv4/conf/*/rp_filter do echo 1 > $filtre done fi echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_all echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_brodcasts #End Alors quel est le meilleur script ??? Ensuite j'ai vu que je pouvais mettre quelque chose comme sa aussi mais je ne C pas trop quelle est sa fonction : #Chacher les machines forwardées par le firewall : $IPTABLES -A POSTROUTING -t nat -o ppp0 -j MASQUERADZ --------- Voila merci de votre aide sur IPtables afin de m'aider a constituer un fichier qui tien la route <IMG SRC="images/smiles/icon_smile.gif"> <IMG SRC="images/smiles/icon_help.gif"> <IMG SRC="images/smiles/icon_help.gif"> <IMG SRC="images/smiles/icon_help.gif">

par **shadowman** » 06 Déc 2003 15:38

tu devrais integrer aussi une protection contre l'ipspoofing, ca fait qq lignes en plus mais ca protege bien <IMG SRC="images/smiles/icon_wink.gif"> ( Le principe du spoofing est de faire croire au firewall qu'une adresse venant d'internet appartient au réseau local ... ) sous Ipcop, ca donne un script ressemblant a ca: # Antispoofing /sbin/iptables -t nat -I PREROUTING -i $RED_DEV -s 10.0.0.0/8 -j DROP /sbin/iptables -t nat -I PREROUTING -i $RED_DEV -s 172.16.0.0/12 -j DROP /sbin/iptables -t nat -I PREROUTING -i $RED_DEV -s 192.168.0.0/16 -j DROP /sbin/iptables -t nat -I PREROUTING -i $RED_DEV -s 127.0.0.0/8 -j DROP /sbin/iptables -t nat -I PREROUTING -i $RED_DEV -s 169.254.0.0/16 -j DROP sinon pour le ping, moi j'utilise ce script: # localhost and ethernet. /sbin/iptables -A INPUT -i lo -j ACCEPT /sbin/iptables -A INPUT -p icmp --icmp-type 0 -j DROP /sbin/iptables -A INPUT -p icmp --icmp-type 5 -j DROP /sbin/iptables -A INPUT -p icmp --icmp-type 8 -j DROP /sbin/iptables -A INPUT -p icmp -j ACCEPT a voir si faut pas adapter un peu a ta distro... <IMG SRC="images/smiles/icon_up.gif">

par **Sebastien65** » 06 Déc 2003 17:02

Merci <IMG SRC="images/smiles/icon_wink.gif"> Mais comment je peux savoir si ces lignes passe sur ma machine SME ????

par **shadowman** » 06 Déc 2003 17:53

aucune idée, je connais pas la syntaxe iptable sous SME ( a priori, ca devrait etre pareil, mais bon... ) au pire, fais un backup de ton FW, et puis... <IMG SRC="images/smiles/icon_biggrin.gif"> rentre les commandes que tu veux <IMG SRC="images/smiles/icon_biggrin.gif"> , testes koi : ca passe ou ca casse ! <IMG SRC="images/smiles/icon_lol.gif">

par **Sebastien65** » 06 Déc 2003 18:54

Oui bon vais voir sa alors... Donc je vais me refaire le script et voir si sa passe... Si des pros de l'iptables passe par la merci de me dire koi vous en pensez <IMG SRC="images/smiles/icon_smile.gif"> A oui ptite question !!!!!!!!! Donc j'ai essayé viteuf de modifier et de faire un fichier mais pour l'éxécuter je n'y arrive pas... Je procède comme cela : ./nom_du_fichier Mais la sa me retourne une erreur du style :bad interpreter: No such file or directory pourtant j'ai bien #!/bin/sh Alors <IMG SRC="images/smiles/icon_help.gif"> <IMG SRC="images/smiles/icon_confused.gif">

par **Muzo** » 06 Déc 2003 22:27

Ton script tu l'as fait sous wondows? Avec un éditeur? Vérifies que ton éditeur l'ai fait au format UNIX et non DOS (c'est le cas avec UltraEdit). Si il est fait au format DOS transforme le en forma UNIX

par **MasterSleepy** » 06 Déc 2003 23:51

Salut, Voilà comment je ferai pour rajouter des régles dans l'iptable de la SME. Construire le répertoire de templates : mkdir -p /etc/e-smith/templates-custom/etc/rc.d/init.d/masq Créé un fichier pour rajouter tes commandes : pico 46Myrules Et dedans ça devrait ressembler à ça : /sbin/iptables -t nat -I PREROUTING -i $OUTERIF -s 10.0.0.0/8 -j DROP /sbin/iptables -t nat -I PREROUTING -i $OUTERIF -s 172.16.0.0/12 -j DROP /sbin/iptables -t nat -I PREROUTING -i $OUTERIF -s 192.168.0.0/16 -j DROP /sbin/iptables -t nat -I PREROUTING -i $OUTERIF -s 127.0.0.0/8 -j DROP /sbin/iptables -t nat -I PREROUTING -i $OUTERIF -s 169.254.0.0/16 -j DROP # localhost and ethernet. /sbin/iptables -A INPUT -i lo -j ACCEPT /sbin/iptables -A INPUT -p icmp --icmp-type 0 -j DROP /sbin/iptables -A INPUT -p icmp --icmp-type 5 -j DROP /sbin/iptables -A INPUT -p icmp --icmp-type 8 -j DROP /sbin/iptables -A INPUT -p icmp -j ACCEPT Et pour finir : /sbin/e-smith/expand-templates /etc/rc.d/init.d/masq service masq restart Ca devrait ressembler à ça. A+ _________________ "Microsoft fera quelque chose qui ne plantera jamais quand ils commenceront à fabriquer des clous " <A HREF="http://vanhees.homeip.net" TARGET="_blank">http://vanhees.homeip.net</A>

par **Sebastien65** » 07 Déc 2003 17:50

Salut les gars <IMG SRC="images/smiles/icon_smile.gif"> Oui je pense que sa vient tous simplement du fait que j'ai tapé le script sous Windows avec Not-pad <IMG SRC="images/smiles/icon_rolleyes.gif"> MasterSleepy : Je ne comprend pas trop ta manip... Il faut que je rajoute donc les lignes que j'ai donné plus haut pour faire non ??? Ensuite pas plus simple de faire un script et de l'exécuter avec la commande " ./nom_script " et si je ne dis pas de bêtise le mettre au démarrage de la machine non ???? Je débute au niveau des scripts donc j'ai besoin de vos lumières <IMG SRC="images/smiles/icon_find.gif"> ???? En tous cas merci pour votre aide sur ce script <IMG SRC="images/smiles/icon_up.gif">

par **MasterSleepy** » 07 Déc 2003 20:01

Bien sure tu peux faire ça comme ça. Mais ce serait quand même mieux de l'intégrer aux templates de la SME. Comme ça pas de traquat, il seront toujours pris en compte. Selon ton type de connection internet /etc/init.d/masq sera relance lors des reconnexions, changement d'ip. A mon avis il serait préférable de les intégrer à ce script là.

par **Sebastien65** » 07 Déc 2003 20:16

Oki MAsterSleepy !! Je vais faire des templates alors... Donc je fais un fichier avec toutes mes lignes du premier post du haut mais je dois mettre la ligne #!/bin/sh sur ce fichier ???? Et ensuite je fais comme cela : mkdir -p /etc/e-smith/templates-custom/Nom_du fichier /etc/rc.d/init.d/masq Non C pas comme sa ?

par **MasterSleepy** » 07 Déc 2003 20:24

Ben non c'est pas tout à fait ça. En faite je te conseille d'aller voir le fichier /etc/init.d/masq Tu verras que des régles par défaut sont déjà établie, de plus le système de template pour le masq est plutôt complexe vu que en activant ou désactivant certains services les régles changes. <TABLE BORDER=0 ALIGN=CENTER WIDTH=85%><TR><TD>En réponse à:<HR></TD></TR><TR><TD><BLOCKQUOTE> Salut, Voilà comment je ferai pour rajouter des régles dans l'iptable de la SME. Construire le répertoire de templates : mkdir -p /etc/e-smith/templates-custom/etc/rc.d/init.d/masq Créé un fichier pour rajouter tes commandes : pico 46Myrules Et dedans ça devrait ressembler à ça : </BLOCKQUOTE></TD></TR><TR><TD><HR></TD></TR></TABLE> Maintenant ici tu mets ce que tu veux dans le fichier <IMG SRC="images/smiles/icon_wink.gif"> <TABLE BORDER=0 ALIGN=CENTER WIDTH=85%><TR><TD>En réponse à:<HR></TD></TR><TR><TD><BLOCKQUOTE> Et pour finir : /sbin/e-smith/expand-templates /etc/rc.d/init.d/masq service masq restart Ca devrait ressembler à ça. A+ </BLOCKQUOTE></TD></TR><TR><TD><HR></TD></TR></TABLE>

par **Sebastien65** » 07 Déc 2003 20:28

A oki !!! Donc je rentre mes lignes directement dans le fichier masq !! Par contre ya pas mal de lignes... J'espère que sa va pas faire n'importe quoi quand je vais rajouter les miennes !!!

par **MasterSleepy** » 07 Déc 2003 20:33

Heuuu ben non pas dans le fichier masq. Dans le fichier 46trucbazarre

par **Muzo** » 19 Déc 2003 00:04

10 ans plus tard je débarque <IMG SRC="images/smiles/icon_smile.gif"> Alors j'ai étudié et décortiqué les templates de SME pour faire le fichier masq. Vu qu'il y'a beaucoup de demandes à ce sujet ... peut-être vais-je mûrir un RPM. <IMG SRC="images/smiles/icon_wink.gif"> Bon ton template 46trucbazaare, c'est bien beau, mais c'est en redondance avec un autre : 40AllowICMPIn qui a cette tronche : <TABLE BORDER=0 ALIGN=CENTER WIDTH=85%><TR><TD>En réponse à:<HR></TD></TR><TR><TD><BLOCKQUOTE> /sbin/iptables --new-chain icmpIn /sbin/iptables --append INPUT --protocol icmp --jump icmpIn { use esmith::NetworksDB; # We want to be very selective on the ICMPs we accept to stop # route hijacking my @OKicmpTypes = ( qw( echo-request echo-reply destination-unreachable source-quench time-exceeded parameter-problem ) ); my $stealth = $masq{Stealth} || 'no'; if ($stealth eq 'yes') { $OUT .= <<HERE /sbin/iptables --append icmpIn --proto icmp --icmp-type echo-request --in-interface $OUTERIF --jump denylog HERE } foreach my $icmpType (@OKicmpTypes) { $OUT .= <<HERE; /sbin/iptables --append icmpIn --proto icmp --icmp-type $icmpType --jump ACCEPT HERE } } </BLOCKQUOTE></TD></TR><TR><TD><HR></TD></TR></TABLE> je suggérerais momentanement de faire un template-custom comme suis : <TABLE BORDER=0 ALIGN=CENTER WIDTH=85%><TR><TD>En réponse à:<HR></TD></TR><TR><TD><BLOCKQUOTE> /sbin/iptables --new-chain icmpIn /sbin/iptables --append INPUT --protocol icmp --jump icmpIn { use esmith::NetworksDB; # We want to be very selective on the ICMPs we accept to stop # route hijacking my @OKicmpTypes = ( qw( destination-unreachable source-quench time-exceeded parameter-problem ) ); my @KOicmpTypes = ( qw( echo-request echo-reply ) ); my $stealth = $masq{Stealth} || 'no'; if ($stealth eq 'yes') { $OUT .= <<HERE /sbin/iptables --append icmpIn --proto icmp --icmp-type echo-request --in-interface $OUTERIF --jump denylog HERE } foreach my $icmpType (@OKicmpTypes) { $OUT .= <<HERE; /sbin/iptables --append icmpIn --proto icmp --icmp-type $icmpType --jump ACCEPT HERE } foreach my $icmpType (@KOicmpTypes) { $OUT .= <<HERE; /sbin/iptables --append icmpIn --proto icmp --icmp-type $icmpType --jump DROP HERE } } </BLOCKQUOTE></TD></TR><TR><TD><HR></TD></TR></TABLE> Voili (attention, je n'ai pas testé ce script !!!) De plus j'ai pu voir qu'il existait un fichier non utiliser sous SME de base non pro. Je vais voir ce que je peux en faire. Stay tuned.

par **arapaho** » 19 Déc 2003 01:40

#!/bin/bash ################################################### ## ARCHITECTURE POUR UN FIREWALL A 4 INTERFACES ## ## ## ## INTERNET ## ## | ## ## DMZ--------FIREWALL--------ZONE SERVEURS ## ## | ## ## LAN ## ## ## ## ## ## ################################################### ################################################### ## MODULES IPTABLES NECESSAIRES ## ################################################### MODULES_IPTABLES="ip_tables ipt_string ip_conntrack ip_conntrack_ftp ip_nat_ftp" # Modules iptables charges au demarrage INTERNET="ppp0" # Device Internet (plusieurs devices possibles) INTERNET_NAT="ppp0" # Device Internet utilise pour le NAT (1 seul device possible) DMZ="" # Device DMZ (IP publiques, serveurs accessible depuis internet) ZONE_SERVEURS="eth2" # Device SMZ (IP privees, serveurs accessible en interne) LAN="eth1 eth3" # Device intranet (plusieurs devices possibles) PAQUETS_ICMP_AUTHORISES="0 3 4 5 8 11 12" # Paquets ICMP authorises a circuler entres les differents reseaux PING_FLOOD="1/s" # Nombre de PING authorises par seconde LOG_FLOOD="1/s" PROTOCOLES_AUTHORISES="47" # Protocoles authorises a circuler via le firewall MASQ_LAN="YES" # Masquerade le Lan MASQ_DMZ="NO" # Masquerade la DMZ MASQ_ZONE_SERVEURS="YES" # Masquerade la zone serveurs PORTS_TCP_INTERNET_AUTHORISES="53" # Ports TCP du firewall accessible de l'internet PORTS_UDP_INTERNET_AUTHORISES="53" # Ports UDP du firewall accessible de l'internet PORTS_TCP_DMZ_AUTHORISES="" # Ports TCP du firewall accessible de la DMZ PORTS_UDP_DMZ_AUTHORISES="" # Ports UDP du firewall accessible de la DMZ PORTS_TCP_ZONE_SERVEURS_AUTHORISES="53 113" # Ports TCP du firewall accessible de la zone serveurs PORTS_UDP_ZONE_SERVEURS_AUTHORISES="53 113" # Ports UDP du firewall accessible de la zone serveurs PORTS_TCP_LAN_AUTHORISES="53 113 22" # Ports TCP du firewall accessible du LAN PORTS_UDP_LAN_AUTHORISES="53 113 22" # Ports UDP du firewall accessible du LAN PORTS_TCP_SORTIE_REFUSES="6346 7777 8888 6699 6000" # Ports TCP interdit en sortie du firewall PORTS_UDP_SORTIE_REFUSES="6346 7777 8888 6699 6000" # Ports UDP interdit en sortie du firewall RESEAUX_LAN="192.168.10.0/24 192.168.30.0/24" # Reseaux composants le LAN RESEAUX_DMZ="" # Reseaux composants la DMZ RESEAUX_ZONE_SERVEURS="192.168.50.0/24" # Reseaux composants la zone serveurs NAT_TCP_NET=" 80.13.192.105:80>192.168.50.100:8080 " # NAT => IP_FIREWALL:PORT_FIREWALL>IP_INTERNE:PORT_INTERNE NAT_UDP_NET="" # NAT => IP_FIREWALL:PORT_FIREWALL>IP_INTERNE:PORT_INTERNE MOTS_CLES="root admin" # Mots cles a loguer MOTS_CLES_INTERDITS="mp3>192.168.10.117 MP3>192.168.10.117 ogg>192.168.10.117 OGG>192.168.10.117" # Mots cles interdit de passage <IMG SRC="images/smiles/icon_wink.gif"> MOT_CLE>IP_DESTINATAIRE IP_INTERDITES=" 66.28.48.0/24 66.28.49.0/24" # Adresses interdites d'entree ################################################### ## VARIABLES PROPRES AU SCRIPT (NE PAS EDITER) ## ################################################### IPTABLES=`which iptables` MODPROBE=`which modprobe` VERT="033[32m" JAUNE="033[33m" GRAS="033[1m" NORMAL="033[m" ROUGE="033[31m" ################################################### ## VERIFICATION DE LA PRESENCE DE IPTABLES ## ################################################### echo -en "${GRAS}Verification de la presence de IPTABLES :${NORMAL}" if [ -z ${IPTABLES} ] ;then echo -e "tt${ROUGE}FAILED${NORMAL}n" exit 1 else echo -e "tt${VERT}OK${NORMAL}" fi ################################################### ## VERIFICATION DE LA PRESENCE DE MODPROBE ## ################################################### echo -en "${GRAS}Verification de la presence de MODPROBE :${NORMAL}" if [ -z ${MODPROBE} ] ;then echo -e "tt${ROUGE}FAILED${NORMAL}n" exit 1 else echo -e "tt${VERT}OK${NORMAL}n" fi ################################################### ## CHARGEMENT DES MODULES PROPRES A IPTABLES ## ################################################### for module in ${MODULES_IPTABLES} ;do echo -e "${GRAS}Chargement du module ${module} :${NORMAL}ttt${VERT}OK${NORMAL}" ${MODPROBE} ${module} done echo -e "n" ################################################### ## CONFIGURATION DE BASE DU FIREWALL GRACE AU ## ## SYSTEME DE FICHIER /proc ## ################################################### ################################################### ## ACTIVATION DE L'IP FORWARDING (routage) ## ################################################### echo -en "${GRAS}${JAUNE}Activation de l'ip forwarding :${NORMAL}" if [ -e /proc/sys/net/ipv4/ip_forward ] ; then echo 1 > /proc/sys/net/ipv4/ip_forward echo -e "tttt${VERT}OK${NORMAL}" else echo -e "tttt${ROUGE}FAILED${NORMAL}n" exit 1 fi ################################################### ## Protection contre les SYN FLOOD ## ################################################### echo -en "${GRAS}${JAUNE}Protection contre les SYN/FLOOD :${NORMAL}" if [ -e /proc/sys/net/ipv4/tcp_syncookies ] ; then echo 1 > /proc/sys/net/ipv4/tcp_syncookies echo -e "ttt${VERT}OK${NORMAL}" else echo -e "ttt${ROUGE}FAILED${NORMAL}" fi ################################################### ## Defragmente les paquets avant des les reenvoyer# ## Utile pour le masquerading ## ################################################### echo -en "${GRAS}${JAUNE}Refragmentation des paquets :${NORMAL}" if [ -e /proc/sys/net/ipv4/ip_always_defrag ] ; then echo 1 > /proc/sys/net/ipv4/ip_always_defrag echo -e "tttt${VERT}OK${NORMAL}" else echo -e "tttt${ROUGE}FAILED${NORMAL}" fi ################################################### ## Permet de ne pas repondre aux paquets ICMP ## ## emis sur le broadcast ## ################################################### echo -en "${GRAS}${JAUNE}Insensibilite aux paquets ICMP emis sur le brodcast :${NORMAL}" if [ -e /proc/sys/net/ipv4/icmp_echo_ignore_broadcasts ] ; then echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_broadcasts echo -e "t${VERT}OK${NORMAL}" else echo -e "t${ROUGE}FAILED${NORMAL}" fi ################################################### ## Permet d'ignorer les erreurs ICMP provenant ## ## des hotes du reseau reagissant mal aux trames ## ## envoyees vers ce qu'ils percoivent comme ## ## l'addresse de diffusion ## ################################################### if [ -e /proc/sys/net/ipv4/icmp_ignore_bogus_error_responses ] ; then echo 1 > /proc/sys/net/ipv4/icmp_ignore_bogus_error_responses fi ################################################### ## Reverse Path Filtering ## ## Permet de ne router que les paquets appartenant# ## a nos reseaux ## ################################################### echo -e "${GRAS}${JAUNE}Activation du Reverse Path Filtering :${NORMAL}ttt${VERT}OK${NORMAL}n" for f in /proc/sys/net/ipv4/conf/*/rp_filter; do echo 1 > $f done ################################################### ## EFFACEMENT DES ANCIENNES REGLES ## ################################################### echo -en "${GRAS}${JAUNE}Effacement des anciennes regles :${NORMAL}" ${IPTABLES} -t filter -F INPUT ${IPTABLES} -t filter -F OUTPUT ${IPTABLES} -t filter -F FORWARD ${IPTABLES} -t nat -F PREROUTING ${IPTABLES} -t nat -F OUTPUT ${IPTABLES} -t nat -F POSTROUTING ${IPTABLES} -t mangle -F PREROUTING ${IPTABLES} -t mangle -F OUTPUT echo -e "ttt${VERT}OK${NORMAL}" ################################################### ## REMISE A ZERO DES CHAINES ## ################################################### echo -en "${GRAS}${JAUNE}Remise a zero des chaines :${NORMAL}" ${IPTABLES} -t filter -Z ${IPTABLES} -t nat -Z ${IPTABLES} -t mangle -Z echo -e "tttt${VERT}OK${NORMAL}" ################################################### ## MISE EN PLACE DE LA POLITIQUE PAR DEFAUT ## ################################################### echo -en "${GRAS}${JAUNE}Mise en place de la polique par defaut :${NORMAL}" ${IPTABLES} -t filter -P INPUT DROP ${IPTABLES} -t filter -P OUTPUT ACCEPT ${IPTABLES} -t filter -P FORWARD DROP echo -e "tt${VERT}OK${NORMAL}n" ################################################### ## MOTS CLES A LOGUER ## ################################################### if [ "${MOTS_CLES}" != "" ] ;then echo -ne "${GRAS}${JAUNE}Activation du systeme de logs par mots cles :${NORMAL}" for mot in ${MOTS_CLES} ;do ${IPTABLES} -A INPUT -m string --string "${mot}" -j LOG --log-level info --log-prefix "${mot} : " ${IPTABLES} -A FORWARD -m string --string "${mot}" -j LOG --log-level info --log-prefix "${mot} : " done echo -e "tt${VERT}OK${NORMAL}" fi ################################################### ## Interdiction d'entree de certaines adresses ## ## via le firewall en tcp et en udp ## ################################################### if [ "${IP_INTERDITES}" != "" ] ;then echo -e "${GRAS}${JAUNE}Interdiction d'entree de certaines adresses :${NORMAL}tt${VERT}OK${NORMAL}" for adr in ${IP_INTERDITES} ;do ${IPTABLES} -t filter -A FORWARD -p tcp -s ${adr} -j DROP ${IPTABLES} -t filter -A FORWARD -p udp -s ${adr} -j DROP done fi ################################################### ## Interdiction de sortie de certains ports via ## ## le firewall en tcp ## ################################################### if [ "${PORTS_TCP_SORTIE_REFUSES}" != "" ] ;then echo -e "${GRAS}${JAUNE}Interdiction de sortie de certains ports TCP :${NORMAL}tt${VERT}OK${NORMAL}" for port_no in ${PORTS_TCP_SORTIE_REFUSES} ;do ${IPTABLES} -t filter -A FORWARD -p tcp --dport ${port_no} -j DROP ${IPTABLES} -t filter -A OUTPUT -p tcp -o ${INTERNET} --dport ${port_no} -j DROP done fi ################################################### ## Interdiction de sortie de certains ports via ## ## le firewall en udp ## ################################################### if [ "${PORTS_TCP_SORTIE_REFUSES}" != "" ] ;then echo -e "${GRAS}${JAUNE}Interdiction de sortie de certains ports UDP :${NORMAL}tt${VERT}OK${NORMAL}" for port_no in ${PORTS_TCP_SORTIE_REFUSES} ;do ${IPTABLES} -t filter -A FORWARD -p udp --dport ${port_no} -j DROP ${IPTABLES} -t filter -A OUTPUT -p udp -o ${INTERNET} --dport ${port_no} -j DROP done fi ################################################### ## Interdiction de passage de certains mots cles ## ################################################### if [ "${MOTS_CLES_INTERDITS}" != "" ] ;then echo -e "${GRAS}${JAUNE}Interdiction de passage de certains mots cles :${NORMAL}tt${VERT}OK${NORMAL}" for mot_cles in ${MOTS_CLES_INTERDITS} ;do mot=`echo ${mot_cles} | sed 's/>.*//g'` ip=`echo ${mot_cles} | sed 's/.*>//g'` ${IPTABLES} -A INPUT -m string --string "${mot}" -d ${ip} -j DROP ${IPTABLES} -A FORWARD -m string --string "${mot}" -d ${ip} -j DROP done fi ################################################### ## Autorisation des paquets ICMP ## ################################################### if [ "${PAQUETS_ICMP_AUTHORISES}" != "" ] ;then echo -e "${GRAS}${JAUNE}Authorisation de certains paquets ICMP :${NORMAL}tt${VERT}OK${NORMAL}" for icmp_no in ${PAQUETS_ICMP_AUTHORISES} ;do ${IPTABLES} -t filter -A INPUT -p icmp --icmp-type ${icmp_no} -m limit --limit ${PING_FLOOD} -j ACCEPT ${IPTABLES} -t filter -A FORWARD -p icmp --icmp-type ${icmp_no} -m limit --limit ${PING_FLOOD} -j ACCEPT ${IPTABLES} -t filter -A OUTPUT -p icmp --icmp-type ${icmp_no} -m limit --limit ${PING_FLOOD} -j ACCEPT done fi ################################################### ## Autorise certains protocoles a circuler ## ################################################### if [ "${PROTOCOLES_AUTHORISES}" != "" ] ;then echo -e "${GRAS}${JAUNE}Authorisation de certains protocoles :${NORMAL}ttt${VERT}OK${NORMAL}" for protocole_no in ${PROTOCOLES_AUTHORISES} ;do ${IPTABLES} -t filter -A INPUT -p ${protocole_no} -j ACCEPT ${IPTABLES} -t filter -A FORWARD -p ${protocole_no} -j ACCEPT done fi ################################################### ## Autorise les connections deja etablie avant le## ## lancement de ce script ## ################################################### echo -e "${GRAS}${JAUNE}Autorisation des connections deja etablies :${NORMAL}tt${VERT}OK${NORMAL}" ${IPTABLES} -t filter -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT ${IPTABLES} -t filter -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT ${IPTABLES} -t filter -A OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT ################################################### ## Autorise les connections LocalHost ## ################################################### echo -e "${GRAS}${JAUNE}Autorisation des connections propres au localhost :${NORMAL}t${VERT}OK${NORMAL}" ${IPTABLES} -t filter -A INPUT -s 127.0.0.1 -d 127.0.0.1 -j ACCEPT ${IPTABLES} -t filter -A FORWARD -s 127.0.0.1 -d 127.0.0.1 -j ACCEPT ${IPTABLES} -t filter -A OUTPUT -s 127.0.0.1 -d 127.0.0.1 -j ACCEPT ################################################### ## Autorisation des connections TCP sur le ## ## device internet ## ################################################### if [ "${INTERNET}" != "" ] ;then for internet_device in ${INTERNET} ;do if [ "${PORTS_TCP_INTERNET_AUTHORISES}" != "" ] ;then echo -e "${GRAS}${JAUNE}Connections TCP sur l'interface internet ${internet_device}:${NORMAL}tt${VERT}OK${NORMAL}" for port_no in ${PORTS_TCP_INTERNET_AUTHORISES} ;do ${IPTABLES} -t filter -A INPUT -p tcp -i ${internet_device} --dport ${port_no} -j ACCEPT if [ "0${port_no}" == "021" ] ;then ${IPTABLES} -t filter -A INPUT -p tcp -i ${internet_device} --sport 20 --dport 1024:65535 ! --syn -j ACCEPT fi done fi done fi ################################################### ## Autorisation des connections UDP sur le ## ## device internet ## ################################################### if [ "${INTERNET}" != "" ] ;then for internet_device in ${INTERNET} ;do if [ "${PORTS_UDP_INTERNET_AUTHORISES}" != "" ] ;then echo -e "${GRAS}${JAUNE}Connections UDP sur l'interface internet ${internet_device}:${NORMAL}tt${VERT}OK${NORMAL}" for port_no in ${PORTS_UDP_INTERNET_AUTHORISES} ;do ${IPTABLES} -t filter -A INPUT -p udp -i ${internet_device} --dport ${port_no} -j ACCEPT done fi done fi ################################################### ## Autorisation des connections TCP sur le ## ## device DMZ ## ################################################### if [ "${DMZ}" != "" ] ;then for dmz_device in ${DMZ} ;do if [ "${PORTS_TCP_DMZ_AUTHORISES}" != "" ] ;then echo -e "${GRAS}${JAUNE}Connections TCP sur l'interface DMZ ${dmz_device}:${NORMAL}tt${VERT}OK${NORMAL}" for port_no in ${PORTS_TCP_DMZ_AUTHORISES} ;do ${IPTABLES} -t filter -A INPUT -p tcp -i ${dmz_device} --dport ${port_no} -j ACCEPT if [ "0${port_no}" == "021" ] ;then ${IPTABLES} -t filter -A INPUT -p tcp -i ${dmz_device} --sport 20 --dport 1024:65535 ! --syn -j ACCEPT fi done fi done fi ################################################### ## Autorisation des connections UDP sur le ## ## device DMZ ## ################################################### if [ "${DMZ}" != "" ] ;then for dmz_device in ${DMZ} ;do if [ "${PORTS_UDP_DMZ_AUTHORISES}" != "" ] ;then echo -e "${GRAS}${JAUNE}Connections UDP sur l'interface DMZ ${dmz_device}:${NORMAL}tt${VERT}OK${NORMAL}" for port_no in ${PORTS_UDP_DMZ_AUTHORISES} ;do ${IPTABLES} -t filter -A INPUT -p udp -i ${dmz_device} --dport ${port_no} -j ACCEPT done fi done fi ################################################### ## Autorisation des connections TCP sur le ## ## device de la zone serveurs ## ################################################### if [ "${ZONE_SERVEURS}" != "" ] ;then for zone_serveurs_device in ${ZONE_SERVEURS} ;do if [ "${PORTS_TCP_ZONE_SERVEURS_AUTHORISES}" != "" ] ;then echo -e "${GRAS}${JAUNE}Connections TCP sur l'interface zone serveurs ${zone_serveurs_device}:${NORMAL}t${VERT}OK${NORMAL}" for port_no in ${PORTS_TCP_ZONE_SERVEURS_AUTHORISES} ;do ${IPTABLES} -t filter -A INPUT -p tcp -i ${zone_serveurs_device} --dport ${port_no} -j ACCEPT if [ "0${port_no}" == "021" ] ;then ${IPTABLES} -t filter -A INPUT -p tcp -i ${zone_serveurs_device} --sport 20 --dport 1024:65535 ! --syn -j ACCEPT fi done fi done fi ################################################### ## Autorisation des connections UDP sur le ## ## device de la zone serveurs ## ################################################### if [ "${ZONE_SERVEURS}" != "" ] ;then for zone_serveurs_device in ${ZONE_SERVEURS} ;do if [ "${PORTS_UDP_ZONE_SERVEURS_AUTHORISES}" != "" ] ;then echo -e "${GRAS}${JAUNE}Connections UDP sur l'interface zone serveurs ${zone_serveurs_device}:${NORMAL}t${VERT}OK${NORMAL}" for port_no in ${PORTS_UDP_ZONE_SERVEURS_AUTHORISES} ;do ${IPTABLES} -t filter -A INPUT -p udp -i ${zone_serveurs_device} --dport ${port_no} -j ACCEPT done fi done fi ################################################### ## Autorisation des connections TCP sur le ## ## device du LAN ## ################################################### if [ "${LAN}" != "" ] ;then for lan_device in ${LAN} ;do if [ "${PORTS_TCP_LAN_AUTHORISES}" != "" ] ;then echo -e "${GRAS}${JAUNE}Connections TCP sur l'interface LAN ${lan_device}:${NORMAL}tt${VERT}OK${NORMAL}" for port_no in ${PORTS_TCP_LAN_AUTHORISES} ;do ${IPTABLES} -t filter -A INPUT -p tcp -i ${lan_device} --dport ${port_no} -j ACCEPT if [ "0${port_no}" == "021" ] ;then ${IPTABLES} -t filter -A INPUT -p tcp -i ${lan_device} --sport 20 --dport 1024:65535 ! --syn -j ACCEPT fi done fi done fi ################################################### ## Autorisation des connections UDP sur le ## ## device du LAN ## ################################################### if [ "${LAN}" != "" ] ;then for lan_device in ${LAN} ;do if [ "${PORTS_UDP_LAN_AUTHORISES}" != "" ] ;then echo -e "${GRAS}${JAUNE}Connections UDP sur l'interface LAN ${lan_device}:${NORMAL}tt${VERT}OK${NORMAL}" for port_no in ${PORTS_UDP_LAN_AUTHORISES} ;do ${IPTABLES} -t filter -A INPUT -p udp -i ${lan_device} --dport ${port_no} -j ACCEPT done fi done fi echo -e "" ################################################### ## Masquerade le LAN ## ################################################### if [ "${MASQ_LAN}" = "YES" -o "${MASQ_LAN}" = "yes" ] ;then echo -e "${GRAS}${JAUNE}Activation du Masquerading pour le LAN :${NORMAL}tt${VERT}OK${NORMAL}" for reseau in ${RESEAUX_LAN} ;do ${IPTABLES} -t nat -A POSTROUTING -s ${reseau} -o ${INTERNET} -j MASQUERADE ${IPTABLES} -t filter -A FORWARD -s ${reseau} -j ACCEPT done fi ################################################### ## Masquerade la DMZ ## ################################################### if [ "${MASQ_DMZ}" = "YES" -o "${MASQ_DMZ}" = "yes" ] ;then echo -e "${GRAS}${JAUNE}Activation du Masquerading pour la DMZ :${NORMAL}tt${VERT}OK${NORMAL}" for reseau in ${RESEAUX_DMZ} ;do ${IPTABLES} -t nat -A POSTROUTING -s ${reseau} -o ${INTERNET} -j MASQUERADE ${IPTABLES} -t filter -A FORWARD -s ${reseau} -j ACCEPT done fi ################################################### ## Masquerade la zone serveurs ## ################################################### if [ "${MASQ_ZONE_SERVEURS}" = "YES" -o "${MASQ_ZONE_SERVEURS}" = "yes" ] ;then echo -e "${GRAS}${JAUNE}Activation du Masquerading pour la zone serveurs :${NORMAL}t${VERT}OK${NORMAL}" for reseau in ${RESEAUX_ZONE_SERVEURS} ;do ${IPTABLES} -t nat -A POSTROUTING -s ${reseau} -o ${INTERNET} -j MASQUERADE ${IPTABLES} -t filter -A FORWARD -s ${reseau} -j ACCEPT done fi ################################################### ## Activation du NAT en TCP ## ################################################### if [ "${NAT_TCP_NET}" != "" ] ;then echo -e "${GRAS}${JAUNE}Activation du TCP network address translation :${NORMAL}tt${VERT}OK${NORMAL}" for translation in ${NAT_TCP_NET} ;do srcport=`echo ${translation} | sed 's/>.*//g'|cut -d : -f 2` srchost=`echo ${translation} | sed 's/:.*//g'` desthost=`echo ${translation} | sed 's/.*>//g'| cut -d : -f 1` destport=`echo ${translation} | sed 's/.*://g'` ${IPTABLES} -t nat -A PREROUTING -p tcp -i ${INTERNET_NAT} -d ${srchost} --dport ${srcport} -j DNAT --to ${desthost}:${destport} ${IPTABLES} -A FORWARD -p tcp -i ${INTERNET_NAT} -d ${desthost} --dport ${destport} -j ACCEPT done fi ################################################### ## Activation du NAT en UDP ## ################################################### if [ "${NAT_UDP_NET}" != "" ] ;then echo -e "${GRAS}${JAUNE}Activation du UDP network address translation :${NORMAL}tt${VERT}OK${NORMAL}" for translation in ${NAT_UDP_NET} ;do srcport=`echo ${translation} | sed 's/>.*//g'|cut -d : -f 2` srchost=`echo ${translation} | sed 's/:.*//g'` desthost=`echo ${translation} | sed 's/.*>//g'| cut -d : -f 1` destport=`echo ${translation} | sed 's/.*://g'` ${IPTABLES} -t nat -A PREROUTING -p udp -i ${INTERNET_NAT} -d ${srchost} --dport ${srcport} -j DNAT --to ${desthost}:${destport} ${IPTABLES} -A FORWARD -p udp -i ${INTERNET_NAT} -d ${desthost} --dport ${destport} -j ACCEPT done fi ################################################### ## $%#&! nimda and codered <IMG SRC="images/smiles/icon_smile.gif"> ## ################################################### echo -e "${GRAS}${JAUNE}Protection contre Nimda et codered :${NORMAL}ttt${VERT}OK${NORMAL}" ${IPTABLES} -I INPUT -j DROP -m string -p tcp -s 0.0.0.0/0 --string "c+dir" ${IPTABLES} -I INPUT -j DROP -m string -p tcp -s 0.0.0.0/0 --string "c+tftp" ${IPTABLES} -I INPUT -j DROP -m string -p tcp -s 0.0.0.0/0 --string "cmd.exe" ${IPTABLES} -I INPUT -j DROP -m string -p tcp -s 0.0.0.0/0 --string "default.ida" ${IPTABLES} -I FORWARD -j DROP -m string -p tcp -s 0.0.0.0/0 --string "c+dir" ${IPTABLES} -I FORWARD -j DROP -m string -p tcp -s 0.0.0.0/0 --string "c+tftp" ${IPTABLES} -I FORWARD -j DROP -m string -p tcp -s 0.0.0.0/0 --string "cmd.exe" ${IPTABLES} -I FORWARD -j DROP -m string -p tcp -s 0.0.0.0/0 --string "default.ida" ################################################### ## Activation des logs ## ################################################### echo -ne "${GRAS}${JAUNE}Activation du systeme de logs :${NORMAL}" ${IPTABLES} -t filter -A INPUT -p tcp -m limit --limit ${LOG_FLOOD} -j LOG --log-level info --log-prefix "INPUT TCP DROPPED : " ${IPTABLES} -t filter -A INPUT -p udp -m limit --limit ${LOG_FLOOD} -j LOG --log-level info --log-prefix "INPUT UDP DROPPED : " ${IPTABLES} -t filter -A INPUT -p icmp -m limit --limit ${LOG_FLOOD} -j LOG --log-level info --log-prefix "INPUT ICMP DROPPED : " ${IPTABLES} -t filter -A INPUT -f -m limit --limit ${LOG_FLOOD} -j LOG --log-level info --log-prefix "INPUT FRAGMENT DROPPED : " ${IPTABLES} -t filter -A INPUT -p all -m limit --limit ${LOG_FLOOD} -j LOG --log-level info --log-prefix "INPUT PROTOCOL DROPPED : " ${IPTABLES} -t filter -A FORWARD -p tcp -m limit --limit ${LOG_FLOOD} -j LOG --log-level info --log-prefix "FORWARD TCP DROPPED : " ${IPTABLES} -t filter -A FORWARD -p udp -m limit --limit ${LOG_FLOOD} -j LOG --log-level info --log-prefix "FORWARD UDP DROPPED : " ${IPTABLES} -t filter -A FORWARD -p icmp -m limit --limit ${LOG_FLOOD} -j LOG --log-level info --log-prefix "FORWARD ICMP DROPPED : " ${IPTABLES} -t filter -A FORWARD -f -m limit --limit ${LOG_FLOOD} -j LOG --log-level info --log-prefix "FORWARD FRAGMENT DROPPED : " ${IPTABLES} -t filter -A FORWARD -p all -m limit --limit ${LOG_FLOOD} -j LOG --log-level info --log-prefix "FORWARD PROTOCOL DROPPED : " echo -e "tttt${VERT}OK${NORMAL}" _________________ No One Will Ever Need More Than 640K Ram - Bill Gates, 1981

script iptables

Qui est en ligne ?