| 12,12 → 12,12 |
|---|
| # + suppression du filtrage par la table "NAT" -> utilisation de la table "MANGLE" |
| |
| IPTABLES="/sbin/iptables" |
| FILTERING="no" |
| FILTERING="yes" |
| EXTIF="eth0" |
| INTIF="eth1" |
| TUNIF="tun0" |
| PRIVATE_NETWORK_MASK="192.168.182.0/24" |
| PRIVATE_IP="192.168.182.1" |
| PRIVATE_NETWORK_MASK="182.168.180.0/24" |
| PRIVATE_IP="182.168.180.1" |
| |
| # On vide (flush) toutes les règles existantes |
| $IPTABLES -F |
| 68,18 → 68,57 |
|---|
| $IPTABLES -A INPUT -i $TUNIF -s $PRIVATE_NETWORK_MASK -p icmp --icmp-type 0 -j ACCEPT |
| $IPTABLES -A INPUT -i $TUNIF -s $PRIVATE_NETWORK_MASK -p icmp --icmp-type 8 -j ACCEPT |
| |
| # On ajoute ici les règles spécifiques de filtrage réseau |
| # On ajoute ici les règles locales (ssh via Internet par ex.) |
| if [ -f /usr/local/etc/alcasar-iptables-local.sh ]; then |
| . /usr/local/etc/alcasar-iptables-local.sh |
| fi |
| # On ajoute ici les règles de filtrage réseau |
| if [ -f /usr/local/bin/alcasar-iptables-filter.sh ]; then |
| . /usr/local/bin/alcasar-iptables-filter.sh |
| |
| # On interdit le DNS en FORWARD (bloque les changements de serveurs DNS une fois authentifié ...) |
| $IPTABLES -A FORWARD -i $TUNIF -p udp --dport domain -j REJECT --reject-with icmp-port-unreachable |
| $IPTABLES -A FORWARD -i $TUNIF -p tcp --dport domain -j REJECT --reject-with tcp-reset |
| |
| # On autorise les connexions déjà établies |
| $IPTABLES -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT |
| |
| # Si filtrage de protocoles réseau |
| if [ $FILTERING = "yes" ]; then |
| # On traite les IP en exception |
| nb_exceptions=`wc -w /usr/local/etc/alcasar-filter-exceptions | cut -d" " -f1` |
| if [ $nb_exceptions != "0" ] |
| then |
| while read ip_exception |
| do |
| echo $ip_exception |
| $IPTABLES -A FORWARD -i $TUNIF -s $ip_exception -m state --state NEW -j ULOG --ulog-prefix "RULE IP-exception -- ACCEPT " |
| $IPTABLES -A FORWARD -i $TUNIF -s $ip_exception -m state --state NEW -j ACCEPT |
| done < /usr/local/etc/alcasar-filter-exceptions |
| fi |
| # On autorise les protoles non commentés |
| while read svc_line |
| do |
| svc_on=`echo $svc_line|cut -b1` |
| if [ $svc_on != "#" ] |
| then |
| svc_name=`echo $svc_line|cut -d" " -f1` |
| svc_port=`echo $svc_line|cut -d" " -f2` |
| if [ $svc_name = "icmp" ] |
| then |
| $IPTABLES -A FORWARD -i $TUNIF -p icmp -j ACCEPT |
| else |
| $IPTABLES -A FORWARD -i $TUNIF -p tcp --dport $svc_port -m state --state NEW -j ULOG --ulog-prefix "RULE F_$svc_name -- ACCEPT " |
| $IPTABLES -A FORWARD -i $TUNIF -p tcp --dport $svc_port -m state --state NEW -j ACCEPT |
| fi |
| fi |
| done < /usr/local/etc/alcasar-services |
| #tout le reste est bloqué |
| $IPTABLES -A FORWARD -i $TUNIF -p tcp -j ULOG --ulog-prefix "RULE F_filter -- REJECT " |
| $IPTABLES -A FORWARD -i $TUNIF -p tcp -j REJECT --reject-with tcp-reset |
| $IPTABLES -A FORWARD -i $TUNIF -p udp -j REJECT --reject-with icmp-port-unreachable |
| $IPTABLES -A FORWARD -i $TUNIF -p icmp -j REJECT |
| fi |
| # On autorise le transfert de flux dans les deux sens (avec log sur les demandes de connexion sortantes) |
| $IPTABLES -A FORWARD -i $TUNIF -m state --state NEW -j ULOG --ulog-prefix "RULE Transfert1 -- ACCEPT " |
| $IPTABLES -A FORWARD -i $TUNIF -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT |
| $IPTABLES -A FORWARD -o $TUNIF -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT |
| |
| # On autorise les flux entrant dns, ntp, https, ssh et le port 3990 (connexion/deconnexion des usagers). Retour autorisé par politique accept en OUTPUT |
| $IPTABLES -A INPUT -i $TUNIF -d $PRIVATE_IP -p udp --dport domain -j ACCEPT |
| 89,7 → 128,7 |
|---|
| $IPTABLES -A INPUT -i $TUNIF -d $PRIVATE_IP -p tcp --dport ssh -j ACCEPT |
| $IPTABLES -A INPUT -i $TUNIF -d $PRIVATE_IP -p tcp --dport 3990 -j ACCEPT |
| |
| # On autorise le retour des connexions sortantes (politique ouput accept) |
| # On autorise le retour des connexions entrantes déjà acceptées |
| $IPTABLES -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT |
| |
| # On interdit les connexions directes sur le port de DansGuardian (8080) |