Administrace komentářů

Dobrý den velmi děkuji za Váši připomínku. Opravený script přikládám

#!/bin/sh
#
#konfigurace stavovy firewall iptables a router
#podle Pana Petricka, Sobane a dalsich...
#
#Fedora Core 4
#
#Server eth0 192.168.161.23 (venkovni sit pripojena na Internet)
#       eth1 192.168.1.1     (vnitrni sit)
#
#poznamky:po odskouseni zastavit logovani
#         nastavit casy pro FTP
#         test INPUT na eth0

# cesta k iptables
iptables=/sbin/iptables

#vycisteni vsech retezcu
$iptables -F INPUT
$iptables -F OUTPUT
$iptables -F FORWARD

#vsechno zakazeme -P, --policy - Výchozí politika øetìzce, vystup - povolen!!!
$iptables -P INPUT DROP
$iptables -P OUTPUT ACCEPT
$iptables -P FORWARD DROP

################# Obecna ochrana ##################
#logovani inputu na eth0 ; potreba doplnit a otestovat,
#$iptables -A INPUT -i eth0 -j LOG --log-level debug --log-prefix "FIREWALL:"
$iptables -A INPUT -i eth0 -d 192.168.1.2 -j LOG --log-level debug --log-prefix "dovnitr site :"
$iptables -A INPUT -i eth0 -d 192.168.1.3 -j LOG --log-level debug --log-prefix "dovnitr site : "
$iptables -A INPUT -i eth0 -d 192.168.1.4 -j LOG --log-level debug --log-prefix "dovnitr site : "

# Paket navazuje spojeni, ale nema nastaveny priznak SYN, pryc s nim
$iptables -A INPUT -p tcp ! --syn -m state --state NEW -j DROP

# Portscan s nastavenym SYN,FIN
$iptables -A INPUT -p tcp -i eth0 --tcp-flags SYN,FIN SYN,FIN -j LOG -m limit --limit 10/m --log-level debug --log-prefix="Portscan SYN, FIN: "
$iptables -A INPUT -p tcp -i eth0 --tcp-flags SYN,FIN SYN,FIN -j DROP

#ochrana pred DoS (pakety s priznakem SYN)
#pokud bude paketu tcp s priznakem SYN mene nez 5 za sec
#navrati se zpatky do INPUTU
#jinak se zahodi
$iptables -N syn_flood
$iptables -A INPUT -i eth0 -p tcp --syn -j syn_flood
$iptables -A syn_flood -m limit --limit 1/s --limit-burst 5 -j RETURN
$iptables -A syn_flood -j DROP

#TOS flagy slouzi k optimalizaci datovych cest. Pro ssh, ftp a telnet
#pozadujeme minimalni zpozdeni. Pro ftp-data zase maximalni propostnost
#$iptables -t mangle -A PREROUTING -p tcp --sport ssh -j TOS --set-tos Minimize-Delay
#$iptables -t mangle -A PREROUTING -p tcp --dport ssh -j TOS --set-tos Minimize-Delay
#$iptables -t mangle -A PREROUTING -p tcp --sport ftp -j TOS --set-tos Minimize-Delay
#$iptables -t mangle -A PREROUTING -p tcp --sport ftp-data -j TOS --set-tos Maximize-Throughput

#ochrana pred falsovani adres (spoofing)
#zakaze adresy pro lokalni site
#iptables -A INPUT -i eth0 -s 192.168.0.0/16 -j DROP
#iptables -A INPUT -i eth0 -s 172.16.0.0/12  -j DROP
#iptables -A INPUT -i eth0 -s 10.0.0.0/8     -j DROP

#################Routovani##################
# zapneme routovani 
echo "1" > /proc/sys/net/ipv4/ip_forward

$iptables -t nat -A POSTROUTING -o eth0 -j SNAT --to 192.168.161.23

####################INPUT###############################
#povolime dotazy www na vstup eth0
$iptables -A INPUT -i eth0 -d 192.168.161.23 -p tcp --dport 80 -j ACCEPT
$iptables -A INPUT -i eth0 -d 192.168.161.23 -p tcp --dport 443 -j ACCEPT

#povolime FTP na vstup eth0
#pro funkci --time musí byt  v jadre modul CONFIG_IP_NF_MATCH_TIME
#casove omezeni pro FTP od 18.00 - 20.00h
#$iptables -A INPUT -i eth0 -s 192.168.161.23 -p tcp --dport 21 -m time --timestart 18:00 --timestop 20:00 -j ACCEPT

#odmitneme port 113 pro programy, ktere pouzivaji autentizaci
#$iptables -A INPUT -p TCP --dport 113 -j REJECT

#povolime prichozi DNS pro vsechny
#$iptables -A INPUT -p TCP --dport 53 -j ACCEPT
#$iptables -A INPUT -p UDP --dport 53 -j ACCEPT

#povolime ping, routet a dalsi z ICMP
#omezeni 5 odpovedi ping za 1 sec (ochrana pred DOS)
#po odzkouseni asi zakazat
#$iptables -A INPUT -p icmp -j ACCEPT

#povolit rozhrani loopback
$iptables -A INPUT -i lo -j ACCEPT

#umoznime odchozim pripojenim z tohoto pocitace odpovidat
$iptables -A INPUT -i eth0 -m state --state ESTABLISHED,RELATED -j ACCEPT

#povolime vsechno ze vstupu eth1
$iptables -A INPUT -i eth1 -j ACCEPT

###########################FORWARD###########  
#Pokud paket pøichází z eth1 z IP 192.168.1.2 - 192.168.1.4
# a chce opustit eth0, povol, 
# nevim presne jak se pise rozmezi adres
$iptables -A FORWARD -i eth1 -o eth0 -s 192.168.1.2 -j ACCEPT
$iptables -A FORWARD -i eth1 -o eth0 -s 192.168.1.3 -j ACCEPT
$iptables -A FORWARD -i eth1 -o eth0 -s 192.168.1.4 -j ACCEPT

#povolime pakety z internetu, ktere jiz patri k existujicimu spojeni
$iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT