Administrace komentářů

Děkujeme za opravy a inspirující podněty. Dokumentace mame spoustu, avsak nektere poktocile volby nam zatim nejsou uplne jasne. Snazili jsme se spravne reagovat na vsechny vase podnety. S vasi pomoci a dokumentace z Internetu jsme slozili finalni verzi. Dekujeme za pomoc.

iptables -A OUTPUT -p ALL -s 1.2.3.4 ACCEPT 

###############Moduly###########################
#nahravame moduly pro FTP, logovani, odmitnuti, omezeni a stavu
insmod ip_conntrack_FTP
insmod ipt_LOG
insmod ipt_REJECT
insmod ipt_limit
insmod ipt_state

#ochrana pred falsovani adres (spoofing)
#zakaze adresy pro lokalni site
iptables -A INPUT -i eth0 -s 192.168.0.0/16 -j DROP
iptables -A INPUT -i eth0 -s 172.16.0.0/12  -j DROP
iptables -A INPUT -i eth0 -s 10.0.0.0/8     -j DROP

#logujeme vsechny ostatni prichozi pakety
#logovani je nastaveno, tak ze je-li vypusteno vice jak 5 paketu
#za 3 sekundy, budou ignorovany.
# ochrana pred DOS
iptables -A INPUT -m limit --limit 3/second --limit-burst 5 -i ! lo -j LOG

#konfigurace stavovy firewall iptables

#vycisteni vsech retezcu
iptables -F INPUT
iptables -F OUTPUT
iptables -F FORWARD

#vsechno zakazeme
iptables -P INPUT DROP
iptables -P OUTPUT DROP
iptables -P FORWARD DROP


#####################INPUT###############################

#povolime SSH pro vzdaleny pristup
iptables -A INPUT -p TCP --dport 22 -j ACCEPT

#povolime webovy server pro vsechny (443 - SSL)
iptables -A INPUT -p TCP --dport 80 -j ACCEPT
iptables -A INPUT -p TCP --dport 443 -j ACCEPT

#povolime port 113 pro programy, ktere pouzivaji autentizaci
iptables -A INPUT -p TCP --dport 113 -j ACCEPT

#povolime prichozi DNS pro vsechny
iptables -A INPUT -p TCP --dport 53 -j ACCEPT
iptables -A INPUT -p UDP --dport 53 -j ACCEPT

#povolit servisni pakety ICMP (echo, traceroute)
iptables -A INPUT -p ICMP -i eth0 --icmp-type 0 -j ACCEPT
iptables -A INPUT -p ICMP -i eth0 --icmp-type 3 -j ACCEPT
iptables -A INPUT -p ICMP -i eth0 --icmp-type 8 -j ACCEPT
iptables -A INPUT -p ICMP -i eth0 --icmp-type 11 -j ACCEPT

#povolime prichozi pakety z eth1  na port 80 a 443(www), 21(ftp),
# 22(SSH), 25(SMTP)
iptables -A INPUT -p ALL -i eth1 --dport 80 -j ACCEPT
iptables -A INPUT -p ALL -i eth1 --dport 443 -j ACCEPT
iptables -A INPUT -p ALL -i eth1 --dport 21 -j ACCEPT
iptables -A INPUT -p ALL -i eth1 --dport 22 -j ACCEPT
iptables -A INPUT -p ALL -i eth1 --dport 25 -j ACCEPT 

#povolit rozhrani loopback
iptables -A INPUT -p ALL -i lo -j ACCEPT

#umoznime odchozim pripojenim z tohoto pocitace odpovidat
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT 

#logujeme vsechny ostatni prichozi pakety
#logovani je nastaveno, tak ze je-li vypusteno vice jak 5 paketu
#za 3 sekundy, budou ignorovany.
# ochrana pred DOS
iptables -A INPUT -m limit --limit 3/second --limit-burst 5 -i ! lo -j LOG

#ochrana pred falsovani adres (spoofing)
#zakaze adresy pro lokalni site
iptables -A INPUT -i eth0 -s 192.168.0.0/16 -j DROP
iptables -A INPUT -i eth0 -s 172.16.0.0/12  -j DROP
iptables -A INPUT -i eth0 -s 10.0.0.0/8     -j DROP


###########################OUTPUT###########  

#povolime vystup z IP eth0
iptables -A OUTPUT -p ALL -s 1.2.3.4 ACCEPT //OUTPUT nijak neomezuji.?
iptables -A OUTPUT -p ALL -o lo -j ACCEPT        

#logujeme vsechny ostatni odchozí pakety
iptables -A OUTPUT -j LOG

###########################FORWARD###########  
#povolime pakety z vnitrni site na port 80,443(ssl), 
21(ftp),22(ssh),25(smtp), autentizace(113)
#
iptables -A FORWARD -i eth1 --dport 80 -j ACCEPT
iptables -A FORWARD -i eth1 --dport 443 -j ACCEPT
iptables -A FORWARD -i eth1 --dport 21 -j ACCEPT 
iptables -A FORWARD -i eth1 --dport 22 -j ACCEPT          
iptables -A FORWARD -i eth1 --dport 25 -j ACCEPT
iptables -A FORWARD -i eth1 --dport 113 -j ACCEPT

#povolime pakety z internetu, které již patří k existujícímu spojení
iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT 

#ochrana pred falsovani adres (spoofing)
#zakaze adresy pro lokalni site
iptables -A FORWARD -i eth0 -s 192.168.0.0/16 -j DROP
iptables -A FORWARD -i eth0 -s 172.16.0.0/12  -j DROP
iptables -A FORWARD -i eth0 -s 10.0.0.0/8     -j DROP



#################Routovani##################
iptables -t nat -A POSTROUTING -o eth0 -j SNAT --to 1.2.3.4



###############Moduly###########################
#nahravame moduly pro FTP, logovani, odmitnuti, omezeni a stavu
insmod ip_conntrack_FTP
insmod ipt_LOG
insmod ipt_REJECT
insmod ipt_limit
insmod ipt_state