WebSVN – ALCASAR – Diff – /scripts/alcasar-iptables-bypass.sh


#!/bin/bash
# $Id: alcasar-iptables-bypass.sh 3046 2022-07-30 22:07:33Z rexy $
 
# alcasar-iptables-bypass.sh
# by Rexy - 3abtux
# This script is distributed under the Gnu General Public License (GPL)
 
# Applique les regles du parefeu en mode ByPass
# Set the firewall rules in 'ByPass' mode
 
CONF_FILE="/usr/local/etc/alcasar.conf"
private_ip_mask=`grep ^PRIVATE_IP= $CONF_FILE|cut -d"=" -f2`
private_ip_mask=${private_ip_mask:=192.168.182.1/24}
private_network=`/bin/ipcalc -n $private_ip_mask|cut -d"=" -f2`		# LAN IP address (ie.: 192.168.182.0)
private_prefix=`/bin/ipcalc -p $private_ip_mask|cut -d"=" -f2`		# LAN prefix (ie. 24)
IPTABLES="/sbin/iptables"
EXTIF=`grep ^EXTIF= $CONF_FILE|cut -d"=" -f2`				# EXTernal InterFace
INTIF=`grep ^INTIF= $CONF_FILE|cut -d"=" -f2`				# INTernal InterFace
PRIVATE_NETWORK_MASK=$private_network/$private_prefix			# Lan IP address + prefix (192.168.182.0/24)
PRIVATE_IP=`echo $private_ip_mask | cut -d"/" -f1`			# ALCASAR LAN IP address
public_ip_mask=`grep ^PUBLIC_IP= $CONF_FILE|cut -d"=" -f2`		# ALCASAR WAN IP address
if [[ "$public_ip_mask" == "dhcp" ]]
then
	PTN="\b(25[0-5]|2[0-4][0-9]|[01]?[0-9][0-9]?)\.(25[0-5]|2[0-4][0-9]|[01]?[0-9][0-9]?)\.(25[0-5]|2[0-4][0-9]|[01]?[0-9][0-9]?)\.(25[0-5]|2[0-4][0-9]|[01]?[0-9][0-9]?)\/([012]?[0-9]|3[0-2])\b"
	public_ip_mask=`ip addr show $EXTIF | egrep -o $PTN`
fi
PUBLIC_IP=`echo $public_ip_mask | cut -d"/" -f1`
SSH_LAN=`grep ^SSH_LAN= $CONF_FILE|cut -d"=" -f2`			# SSH LAN port
SSH_LAN=${SSH_LAN:=0}
SSH_WAN=`grep ^SSH_WAN= $CONF_FILE|cut -d"=" -f2`		# SSH WAN port
SSH_WAN=${SSH_WAN:=0}
SSH_WAN_ADMIN_FROM=`grep ^SSH_ADMIN_FROM= $CONF_FILE|cut -d"=" -f2|cut -d"/" -f2`
SSH_WAN_ADMIN_FROM=${SSH_WAN_ADMIN_FROM:="0.0.0.0"}
SSH_WAN_ADMIN_FROM=$([ "$SSH_WAN_ADMIN_FROM" == "0.0.0.0" ] && echo "0.0.0.0/0" || echo "$SSH_WAN_ADMIN_FROM" )
SSH_LAN_ADMIN_FROM=`grep ^SSH_ADMIN_FROM= $CONF_FILE|cut -d"=" -f2|cut -d"/" -f1`
SSH_LAN_ADMIN_FROM=${SSH_LAN_ADMIN_FROM:="0.0.0.0"}
SSH_LAN_ADMIN_FROM=$([ "$SSH_LAN_ADMIN_FROM" == "0.0.0.0" ] && echo "$PRIVATE_NETWORK_MASK" || echo "$SSH_LAN_ADMIN_FROM" )
interlan=`grep ^INTERLAN= $CONF_FILE|cut -d"=" -f2`
interlan=${interlan:=off}
 
# On vide (flush) toutes les règles existantes
# Flush all existing rules
$IPTABLES -F
$IPTABLES -t nat -F
$IPTABLES -F INPUT
$IPTABLES -F FORWARD
$IPTABLES -F OUTPUT
 
# On indique les politiques par défaut
# Default policies
$IPTABLES -P INPUT DROP
$IPTABLES -P FORWARD DROP
$IPTABLES -P OUTPUT ACCEPT
$IPTABLES -t nat -P PREROUTING ACCEPT
$IPTABLES -t nat -P POSTROUTING ACCEPT
$IPTABLES -t nat -P OUTPUT ACCEPT
 
# On efface toutes les chaînes qui ne sont pas par défaut dans les tables filter et nat
# Flush non default rules on filter and nat tables
$IPTABLES -X
$IPTABLES -t nat -X
 
# On autorise tout sur loopback
# accept all on loopback
$IPTABLES -A OUTPUT -o lo -j ACCEPT
$IPTABLES -A INPUT -i lo -j ACCEPT
 
#############################
#         INPUT             #
#############################
# SSHD rules if activate
if [ $SSH_LAN -gt 0 ]
	then
	$IPTABLES -A INPUT -i $INTIF -s $SSH_LAN_ADMIN_FROM -d $PRIVATE_IP -p tcp --dport $SSH_LAN -m conntrack --ctstate NEW -j NFLOG --nflog-group 2 --nflog-prefix "RULE ssh-from-LAN -- ACCEPT"
	$IPTABLES -A INPUT -i $INTIF -s $SSH_LAN_ADMIN_FROM -d $PRIVATE_IP -p tcp --dport $SSH_LAN -j ACCEPT
fi
if [ $SSH_WAN -gt 0 ]
	then
	$IPTABLES -A INPUT -i $EXTIF -s $SSH_WAN_ADMIN_FROM -d $PUBLIC_IP -p tcp --dport $SSH_WAN -m conntrack --ctstate NEW --syn -j NFLOG --nflog-group 2 --nflog-prefix "RULE ssh-from-WAN -- ACCEPT"
	$IPTABLES -A INPUT -i $EXTIF -s $SSH_WAN_ADMIN_FROM -d $PUBLIC_IP -p tcp --dport $SSH_WAN -j ACCEPT
fi
 
# Insertion de règles locales
# Here, we add local rules (i.e. VPN from Internet)
if [ -f /usr/local/etc/alcasar-iptables-local.sh ]; then
	. /usr/local/etc/alcasar-iptables-local.sh
fi
 
# on autorise les requêtes dhcp
# accept dhcp
$IPTABLES -A INPUT -i $INTIF -p udp -m udp --sport bootpc --dport bootps -j ACCEPT
 
# On drop le broadcast et le multicast sur les interfaces (sans Log)
# Drop broadcast & multicast
$IPTABLES -A INPUT -m addrtype --dst-type BROADCAST,MULTICAST -j DROP
 
# On autorise l'accès aux services internes
# Allow Internal access
$IPTABLES -A INPUT -i $INTIF -s $PRIVATE_NETWORK_MASK -d $PRIVATE_IP -p udp --dport domain -j ACCEPT	# DNS
$IPTABLES -A INPUT -i $INTIF -s $PRIVATE_NETWORK_MASK -d $PRIVATE_IP -p tcp --dport domain -j ACCEPT	# DNS
$IPTABLES -A INPUT -i $INTIF -s $PRIVATE_NETWORK_MASK -d $PRIVATE_IP -p icmp --icmp-type 8 -j ACCEPT	# Réponse ping # ping responce
$IPTABLES -A INPUT -i $INTIF -s $PRIVATE_NETWORK_MASK -d $PRIVATE_IP -p icmp --icmp-type 0 -j ACCEPT	# Requête  ping # ping request
$IPTABLES -A INPUT -i $INTIF -s $PRIVATE_NETWORK_MASK -d $PRIVATE_IP -p tcp --dport https -j ACCEPT	# ACC
$IPTABLES -A INPUT -i $INTIF -s $PRIVATE_NETWORK_MASK -d $PRIVATE_IP -p tcp --dport http -j ACCEPT	# ACC
$IPTABLES -A INPUT -i $INTIF -s $PRIVATE_NETWORK_MASK -d $PRIVATE_IP -p udp --dport ntp -j ACCEPT	# Serveur local de temps # local time server
 
# On autorise le retour des connexions entrante déjà acceptées
$IPTABLES -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
 
# On interdit et on log le reste sur les 2 interfaces d'accès
$IPTABLES -A INPUT -i $INTIF -j NFLOG --nflog-group 1 --nflog-prefix "RULE rej-int -- REJECT "
$IPTABLES -A INPUT -i $EXTIF -j NFLOG --nflog-group 1 --nflog-prefix "RULE rej-ext -- REJECT "
$IPTABLES -A INPUT -p tcp -j REJECT --reject-with tcp-reset
$IPTABLES -A INPUT -p udp -j REJECT --reject-with icmp-port-unreachable
 
#############################
#        FORWARD            #
#############################
# On autorise les retours de connexions légitimes par FORWARD
# Conntrack on forward
$IPTABLES -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT
 
# On autorise (ou pas) les utilisateurs à accéder au réseau situé entre ALCASAR et le routeur Internet
# Users are allowed (or not allowed) to access the network between ALCASAR and the Internet router
if [ "$interlan" != "on" ]
then
	$IPTABLES -A FORWARD -i $TUNIF -d $public_ip_mask -j DROP
fi
 
# Insertion de règles de blocage
# Here, we add block rules
if [ -s /usr/local/etc/alcasar-ip-blocked ]; then
	while read ip_line
	do
		ip_on=`echo $ip_line|cut -b1`
		if [ $ip_on != "#" ]
		then	
			ip_blocked=`echo $ip_line|cut -d" " -f1`
			$IPTABLES -A FORWARD -d $ip_blocked -j NFLOG --nflog-group 1 --nflog-prefix "RULE IP-blocked -- REJECT "
			$IPTABLES -A FORWARD -d $ip_blocked -j REJECT
		fi
	done < /usr/local/etc/alcasar-ip-blocked
fi
 
# On autorise les demandes de connexions sortantes
$IPTABLES -A FORWARD -i $INTIF -m state --state NEW -j NFLOG --nflog-group 1 --nflog-prefix "RULE Transfert -- ACCEPT "
$IPTABLES -A FORWARD -i $INTIF -m state --state NEW -j ACCEPT
 
#############################
#       POSTROUTING         #
#############################
# On active le masquage d'adresse par translation (NAT)
$IPTABLES -A POSTROUTING -t nat -o $EXTIF -j MASQUERADE
 
# on ne sauvegarde pas les règles. En cas de reboot, on repasse ainsi automatiquement en mode normal (bypass -off)
# Fin du script des regles du parefeu
 
 
Generated by GNU Enscript 1.6.6.
 
 
 

Subversion Repositories ALCASAR

(root)/scripts/alcasar-iptables-bypass.sh @ 3076 – Rev 3043 → 3046

Rev 3043		Rev 3046
1	`#!/bin/bash`	1	`#!/bin/bash`
2	`# $Id: alcasar-iptables-bypass.sh 3043 2022-07-22 17:10:23Z rexy $`	2	`# $Id: alcasar-iptables-bypass.sh 3046 2022-07-30 22:07:33Z rexy $`
3		3
4	`# alcasar-iptables-bypass.sh`	4	`# alcasar-iptables-bypass.sh`
5	`# by Rexy - 3abtux`	5	`# by Rexy - 3abtux`
6	`# This script is distributed under the Gnu General Public License (GPL)`	6	`# This script is distributed under the Gnu General Public License (GPL)`
7		7
8	`# Applique les regles du parefeu en mode ByPass`	8	`# Applique les regles du parefeu en mode ByPass`
9	`# Set the firewall rules in 'ByPass' mode`	9	`# Set the firewall rules in 'ByPass' mode`
10		10
11	`CONF_FILE="/usr/local/etc/alcasar.conf"`	11	`CONF_FILE="/usr/local/etc/alcasar.conf"`
12	private_ip_mask=`grep ^PRIVATE_IP= $CONF_FILE\|cut -d"=" -f2`	12	private_ip_mask=`grep ^PRIVATE_IP= $CONF_FILE\|cut -d"=" -f2`
13	`private_ip_mask=${private_ip_mask:=192.168.182.1/24}`	13	`private_ip_mask=${private_ip_mask:=192.168.182.1/24}`
14	private_network=`/bin/ipcalc -n $private_ip_mask\|cut -d"=" -f2` # LAN IP address (ie.: 192.168.182.0)	14	private_network=`/bin/ipcalc -n $private_ip_mask\|cut -d"=" -f2` # LAN IP address (ie.: 192.168.182.0)
15	private_prefix=`/bin/ipcalc -p $private_ip_mask\|cut -d"=" -f2` # LAN prefix (ie. 24)	15	private_prefix=`/bin/ipcalc -p $private_ip_mask\|cut -d"=" -f2` # LAN prefix (ie. 24)
16	`IPTABLES="/sbin/iptables"`	16	`IPTABLES="/sbin/iptables"`
17	EXTIF=`grep ^EXTIF= $CONF_FILE\|cut -d"=" -f2` # EXTernal InterFace	17	EXTIF=`grep ^EXTIF= $CONF_FILE\|cut -d"=" -f2` # EXTernal InterFace
18	INTIF=`grep ^INTIF= $CONF_FILE\|cut -d"=" -f2` # INTernal InterFace	18	INTIF=`grep ^INTIF= $CONF_FILE\|cut -d"=" -f2` # INTernal InterFace
19	`PRIVATE_NETWORK_MASK=$private_network/$private_prefix # Lan IP address + prefix (192.168.182.0/24)`	19	`PRIVATE_NETWORK_MASK=$private_network/$private_prefix # Lan IP address + prefix (192.168.182.0/24)`
20	PRIVATE_IP=`echo $private_ip_mask \| cut -d"/" -f1` # ALCASAR LAN IP address	20	PRIVATE_IP=`echo $private_ip_mask \| cut -d"/" -f1` # ALCASAR LAN IP address
21	public_ip_mask=`grep ^PUBLIC_IP= $CONF_FILE\|cut -d"=" -f2` # ALCASAR WAN IP address	21	public_ip_mask=`grep ^PUBLIC_IP= $CONF_FILE\|cut -d"=" -f2` # ALCASAR WAN IP address
22	`if [[ "$public_ip_mask" == "dhcp" ]]`	22	`if [[ "$public_ip_mask" == "dhcp" ]]`
23	`then`	23	`then`
24	`PTN="\b(25[0-5]\|2[0-4][0-9]\|[01]?[0-9][0-9]?)\.(25[0-5]\|2[0-4][0-9]\|[01]?[0-9][0-9]?)\.(25[0-5]\|2[0-4][0-9]\|[01]?[0-9][0-9]?)\.(25[0-5]\|2[0-4][0-9]\|[01]?[0-9][0-9]?)\/([012]?[0-9]\|3[0-2])\b"`	24	`PTN="\b(25[0-5]\|2[0-4][0-9]\|[01]?[0-9][0-9]?)\.(25[0-5]\|2[0-4][0-9]\|[01]?[0-9][0-9]?)\.(25[0-5]\|2[0-4][0-9]\|[01]?[0-9][0-9]?)\.(25[0-5]\|2[0-4][0-9]\|[01]?[0-9][0-9]?)\/([012]?[0-9]\|3[0-2])\b"`
25	public_ip_mask=`ip addr show $EXTIF \| egrep -o $PTN`	25	public_ip_mask=`ip addr show $EXTIF \| egrep -o $PTN`
26	`fi`	26	`fi`
27	PUBLIC_IP=`echo $public_ip_mask \| cut -d"/" -f1`	27	PUBLIC_IP=`echo $public_ip_mask \| cut -d"/" -f1`
28	SSH_LAN=`grep ^SSH_LAN= $CONF_FILE\|cut -d"=" -f2` # SSH LAN port	28	SSH_LAN=`grep ^SSH_LAN= $CONF_FILE\|cut -d"=" -f2` # SSH LAN port
29	`SSH_LAN=${SSH_LAN:=0}`	29	`SSH_LAN=${SSH_LAN:=0}`
30	SSH_WAN=`grep ^SSH_WAN= $CONF_FILE\|cut -d"=" -f2` # SSH WAN port	30	SSH_WAN=`grep ^SSH_WAN= $CONF_FILE\|cut -d"=" -f2` # SSH WAN port
31	`SSH_WAN=${SSH_WAN:=0}`	31	`SSH_WAN=${SSH_WAN:=0}`
32	SSH_WAN_ADMIN_FROM=`grep ^SSH_ADMIN_FROM= $CONF_FILE\|cut -d"=" -f2\|cut -d"/" -f2`	32	SSH_WAN_ADMIN_FROM=`grep ^SSH_ADMIN_FROM= $CONF_FILE\|cut -d"=" -f2\|cut -d"/" -f2`
33	`SSH_WAN_ADMIN_FROM=${SSH_WAN_ADMIN_FROM:="0.0.0.0"}`	33	`SSH_WAN_ADMIN_FROM=${SSH_WAN_ADMIN_FROM:="0.0.0.0"}`
34	`SSH_WAN_ADMIN_FROM=$([ "$SSH_WAN_ADMIN_FROM" == "0.0.0.0" ] && echo "0.0.0.0/0" \|\| echo "$SSH_WAN_ADMIN_FROM" )`	34	`SSH_WAN_ADMIN_FROM=$([ "$SSH_WAN_ADMIN_FROM" == "0.0.0.0" ] && echo "0.0.0.0/0" \|\| echo "$SSH_WAN_ADMIN_FROM" )`
35	SSH_LAN_ADMIN_FROM=`grep ^SSH_ADMIN_FROM= $CONF_FILE\|cut -d"=" -f2\|cut -d"/" -f1`	35	SSH_LAN_ADMIN_FROM=`grep ^SSH_ADMIN_FROM= $CONF_FILE\|cut -d"=" -f2\|cut -d"/" -f1`
36	`SSH_LAN_ADMIN_FROM=${SSH_LAN_ADMIN_FROM:="0.0.0.0"}`	36	`SSH_LAN_ADMIN_FROM=${SSH_LAN_ADMIN_FROM:="0.0.0.0"}`
37	`SSH_LAN_ADMIN_FROM=$([ "$SSH_LAN_ADMIN_FROM" == "0.0.0.0" ] && echo "$PRIVATE_NETWORK_MASK" \|\| echo "$SSH_LAN_ADMIN_FROM" )`	37	`SSH_LAN_ADMIN_FROM=$([ "$SSH_LAN_ADMIN_FROM" == "0.0.0.0" ] && echo "$PRIVATE_NETWORK_MASK" \|\| echo "$SSH_LAN_ADMIN_FROM" )`
-		38	interlan=`grep ^INTERLAN= $CONF_FILE\|cut -d"=" -f2`
-		39	`interlan=${interlan:=off}`
38		40
39	`# On vide (flush) toutes les règles existantes`	41	`# On vide (flush) toutes les règles existantes`
40	`# Flush all existing rules`	42	`# Flush all existing rules`
41	`$IPTABLES -F`	43	`$IPTABLES -F`
42	`$IPTABLES -t nat -F`	44	`$IPTABLES -t nat -F`
43	`$IPTABLES -F INPUT`	45	`$IPTABLES -F INPUT`
44	`$IPTABLES -F FORWARD`	46	`$IPTABLES -F FORWARD`
45	`$IPTABLES -F OUTPUT`	47	`$IPTABLES -F OUTPUT`
46		48
47	`# On indique les politiques par défaut`	49	`# On indique les politiques par défaut`
48	`# Default policies`	50	`# Default policies`
49	`$IPTABLES -P INPUT DROP`	51	`$IPTABLES -P INPUT DROP`
50	`$IPTABLES -P FORWARD DROP`	52	`$IPTABLES -P FORWARD DROP`
51	`$IPTABLES -P OUTPUT ACCEPT`	53	`$IPTABLES -P OUTPUT ACCEPT`
52	`$IPTABLES -t nat -P PREROUTING ACCEPT`	54	`$IPTABLES -t nat -P PREROUTING ACCEPT`
53	`$IPTABLES -t nat -P POSTROUTING ACCEPT`	55	`$IPTABLES -t nat -P POSTROUTING ACCEPT`
54	`$IPTABLES -t nat -P OUTPUT ACCEPT`	56	`$IPTABLES -t nat -P OUTPUT ACCEPT`
55		57
56	`# On efface toutes les chaînes qui ne sont pas par défaut dans les tables filter et nat`	58	`# On efface toutes les chaînes qui ne sont pas par défaut dans les tables filter et nat`
57	`# Flush non default rules on filter and nat tables`	59	`# Flush non default rules on filter and nat tables`
58	`$IPTABLES -X`	60	`$IPTABLES -X`
59	`$IPTABLES -t nat -X`	61	`$IPTABLES -t nat -X`
60		62
61	`# On autorise tout sur loopback`	63	`# On autorise tout sur loopback`
62	`# accept all on loopback`	64	`# accept all on loopback`
63	`$IPTABLES -A OUTPUT -o lo -j ACCEPT`	65	`$IPTABLES -A OUTPUT -o lo -j ACCEPT`
64	`$IPTABLES -A INPUT -i lo -j ACCEPT`	66	`$IPTABLES -A INPUT -i lo -j ACCEPT`
65		67
66	`#############################`	68	`#############################`
67	`# INPUT #`	69	`# INPUT #`
68	`#############################`	70	`#############################`
69	`# SSHD rules if activate`	71	`# SSHD rules if activate`
70	`if [ $SSH_LAN -gt 0 ]`	72	`if [ $SSH_LAN -gt 0 ]`
71	`then`	73	`then`
72	`$IPTABLES -A INPUT -i $INTIF -s $SSH_LAN_ADMIN_FROM -d $PRIVATE_IP -p tcp --dport $SSH_LAN -m conntrack --ctstate NEW -j NFLOG --nflog-group 2 --nflog-prefix "RULE ssh-from-LAN -- ACCEPT"`	74	`$IPTABLES -A INPUT -i $INTIF -s $SSH_LAN_ADMIN_FROM -d $PRIVATE_IP -p tcp --dport $SSH_LAN -m conntrack --ctstate NEW -j NFLOG --nflog-group 2 --nflog-prefix "RULE ssh-from-LAN -- ACCEPT"`
73	`$IPTABLES -A INPUT -i $INTIF -s $SSH_LAN_ADMIN_FROM -d $PRIVATE_IP -p tcp --dport $SSH_LAN -j ACCEPT`	75	`$IPTABLES -A INPUT -i $INTIF -s $SSH_LAN_ADMIN_FROM -d $PRIVATE_IP -p tcp --dport $SSH_LAN -j ACCEPT`
74	`fi`	76	`fi`
75	`if [ $SSH_WAN -gt 0 ]`	77	`if [ $SSH_WAN -gt 0 ]`
76	`then`	78	`then`
77	`$IPTABLES -A INPUT -i $EXTIF -s $SSH_WAN_ADMIN_FROM -d $PUBLIC_IP -p tcp --dport $SSH_WAN -m conntrack --ctstate NEW --syn -j NFLOG --nflog-group 2 --nflog-prefix "RULE ssh-from-WAN -- ACCEPT"`	79	`$IPTABLES -A INPUT -i $EXTIF -s $SSH_WAN_ADMIN_FROM -d $PUBLIC_IP -p tcp --dport $SSH_WAN -m conntrack --ctstate NEW --syn -j NFLOG --nflog-group 2 --nflog-prefix "RULE ssh-from-WAN -- ACCEPT"`
78	`$IPTABLES -A INPUT -i $EXTIF -s $SSH_WAN_ADMIN_FROM -d $PUBLIC_IP -p tcp --dport $SSH_WAN -j ACCEPT`	80	`$IPTABLES -A INPUT -i $EXTIF -s $SSH_WAN_ADMIN_FROM -d $PUBLIC_IP -p tcp --dport $SSH_WAN -j ACCEPT`
79	`fi`	81	`fi`
80		82
81	`# Insertion de règles locales`	83	`# Insertion de règles locales`
82	`# Here, we add local rules (i.e. VPN from Internet)`	84	`# Here, we add local rules (i.e. VPN from Internet)`
83	`if [ -f /usr/local/etc/alcasar-iptables-local.sh ]; then`	85	`if [ -f /usr/local/etc/alcasar-iptables-local.sh ]; then`
84	`. /usr/local/etc/alcasar-iptables-local.sh`	86	`. /usr/local/etc/alcasar-iptables-local.sh`
85	`fi`	87	`fi`
86		88
87	`# on autorise les requêtes dhcp`	89	`# on autorise les requêtes dhcp`
88	`# accept dhcp`	90	`# accept dhcp`
89	`$IPTABLES -A INPUT -i $INTIF -p udp -m udp --sport bootpc --dport bootps -j ACCEPT`	91	`$IPTABLES -A INPUT -i $INTIF -p udp -m udp --sport bootpc --dport bootps -j ACCEPT`
90		92
91	`# On drop le broadcast et le multicast sur les interfaces (sans Log)`	93	`# On drop le broadcast et le multicast sur les interfaces (sans Log)`
92	`# Drop broadcast & multicast`	94	`# Drop broadcast & multicast`
93	`$IPTABLES -A INPUT -m addrtype --dst-type BROADCAST,MULTICAST -j DROP`	95	`$IPTABLES -A INPUT -m addrtype --dst-type BROADCAST,MULTICAST -j DROP`
94		96
95	`# On autorise l'accès aux services internes`	97	`# On autorise l'accès aux services internes`
96	`# Allow Internal access`	98	`# Allow Internal access`
97	`$IPTABLES -A INPUT -i $INTIF -s $PRIVATE_NETWORK_MASK -d $PRIVATE_IP -p udp --dport domain -j ACCEPT # DNS`	99	`$IPTABLES -A INPUT -i $INTIF -s $PRIVATE_NETWORK_MASK -d $PRIVATE_IP -p udp --dport domain -j ACCEPT # DNS`
98	`$IPTABLES -A INPUT -i $INTIF -s $PRIVATE_NETWORK_MASK -d $PRIVATE_IP -p tcp --dport domain -j ACCEPT # DNS`	100	`$IPTABLES -A INPUT -i $INTIF -s $PRIVATE_NETWORK_MASK -d $PRIVATE_IP -p tcp --dport domain -j ACCEPT # DNS`
99	`$IPTABLES -A INPUT -i $INTIF -s $PRIVATE_NETWORK_MASK -d $PRIVATE_IP -p icmp --icmp-type 8 -j ACCEPT # Réponse ping # ping responce`	101	`$IPTABLES -A INPUT -i $INTIF -s $PRIVATE_NETWORK_MASK -d $PRIVATE_IP -p icmp --icmp-type 8 -j ACCEPT # Réponse ping # ping responce`
100	`$IPTABLES -A INPUT -i $INTIF -s $PRIVATE_NETWORK_MASK -d $PRIVATE_IP -p icmp --icmp-type 0 -j ACCEPT # Requête ping # ping request`	102	`$IPTABLES -A INPUT -i $INTIF -s $PRIVATE_NETWORK_MASK -d $PRIVATE_IP -p icmp --icmp-type 0 -j ACCEPT # Requête ping # ping request`
101	`$IPTABLES -A INPUT -i $INTIF -s $PRIVATE_NETWORK_MASK -d $PRIVATE_IP -p tcp --dport https -j ACCEPT # ACC`	103	`$IPTABLES -A INPUT -i $INTIF -s $PRIVATE_NETWORK_MASK -d $PRIVATE_IP -p tcp --dport https -j ACCEPT # ACC`
102	`$IPTABLES -A INPUT -i $INTIF -s $PRIVATE_NETWORK_MASK -d $PRIVATE_IP -p tcp --dport http -j ACCEPT # ACC`	104	`$IPTABLES -A INPUT -i $INTIF -s $PRIVATE_NETWORK_MASK -d $PRIVATE_IP -p tcp --dport http -j ACCEPT # ACC`
103	`$IPTABLES -A INPUT -i $INTIF -s $PRIVATE_NETWORK_MASK -d $PRIVATE_IP -p udp --dport ntp -j ACCEPT # Serveur local de temps # local time server`	105	`$IPTABLES -A INPUT -i $INTIF -s $PRIVATE_NETWORK_MASK -d $PRIVATE_IP -p udp --dport ntp -j ACCEPT # Serveur local de temps # local time server`
104		106
105	`# On autorise le retour des connexions entrante déjà acceptées`	107	`# On autorise le retour des connexions entrante déjà acceptées`
106	`$IPTABLES -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT`	108	`$IPTABLES -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT`
107		109
108	`# On interdit et on log le reste sur les 2 interfaces d'accès`	110	`# On interdit et on log le reste sur les 2 interfaces d'accès`
109	`$IPTABLES -A INPUT -i $INTIF -j NFLOG --nflog-group 1 --nflog-prefix "RULE rej-int -- REJECT "`	111	`$IPTABLES -A INPUT -i $INTIF -j NFLOG --nflog-group 1 --nflog-prefix "RULE rej-int -- REJECT "`
110	`$IPTABLES -A INPUT -i $EXTIF -j NFLOG --nflog-group 1 --nflog-prefix "RULE rej-ext -- REJECT "`	112	`$IPTABLES -A INPUT -i $EXTIF -j NFLOG --nflog-group 1 --nflog-prefix "RULE rej-ext -- REJECT "`
111	`$IPTABLES -A INPUT -p tcp -j REJECT --reject-with tcp-reset`	113	`$IPTABLES -A INPUT -p tcp -j REJECT --reject-with tcp-reset`
112	`$IPTABLES -A INPUT -p udp -j REJECT --reject-with icmp-port-unreachable`	114	`$IPTABLES -A INPUT -p udp -j REJECT --reject-with icmp-port-unreachable`
113		115
114	`#############################`	116	`#############################`
115	`# FORWARD #`	117	`# FORWARD #`
116	`#############################`	118	`#############################`
117	`# On autorise les retours de connexions légitimes par FORWARD`	119	`# On autorise les retours de connexions légitimes par FORWARD`
118	`# Conntrack on forward`	120	`# Conntrack on forward`
119	`$IPTABLES -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT`	121	`$IPTABLES -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT`
120		122
-		123	`# On autorise (ou pas) les utilisateurs à accéder au réseau situé entre ALCASAR et le routeur Internet`
-		124	`# Users are allowed (or not allowed) to access the network between ALCASAR and the Internet router`
-		125	`if [ "$interlan" != "on" ]`
-		126	`then`
-		127	`$IPTABLES -A FORWARD -i $TUNIF -d $public_ip_mask -j DROP`
-		128	`fi`
-		129
121	`# Insertion de règles de blocage`	130	`# Insertion de règles de blocage`
122	`# Here, we add block rules`	131	`# Here, we add block rules`
123	`if [ -s /usr/local/etc/alcasar-ip-blocked ]; then`	132	`if [ -s /usr/local/etc/alcasar-ip-blocked ]; then`
124	`while read ip_line`	133	`while read ip_line`
125	`do`	134	`do`
126	ip_on=`echo $ip_line\|cut -b1`	135	ip_on=`echo $ip_line\|cut -b1`
127	`if [ $ip_on != "#" ]`	136	`if [ $ip_on != "#" ]`
128	`then`	137	`then`
129	ip_blocked=`echo $ip_line\|cut -d" " -f1`	138	ip_blocked=`echo $ip_line\|cut -d" " -f1`
130	`$IPTABLES -A FORWARD -d $ip_blocked -j NFLOG --nflog-group 1 --nflog-prefix "RULE IP-blocked -- REJECT "`	139	`$IPTABLES -A FORWARD -d $ip_blocked -j NFLOG --nflog-group 1 --nflog-prefix "RULE IP-blocked -- REJECT "`
131	`$IPTABLES -A FORWARD -d $ip_blocked -j REJECT`	140	`$IPTABLES -A FORWARD -d $ip_blocked -j REJECT`
132	`fi`	141	`fi`
133	`done < /usr/local/etc/alcasar-ip-blocked`	142	`done < /usr/local/etc/alcasar-ip-blocked`
134	`fi`	143	`fi`
135		144
136	`# On autorise les demandes de connexions sortantes`	145	`# On autorise les demandes de connexions sortantes`
137	`$IPTABLES -A FORWARD -i $INTIF -m state --state NEW -j NFLOG --nflog-group 1 --nflog-prefix "RULE Transfert -- ACCEPT "`	146	`$IPTABLES -A FORWARD -i $INTIF -m state --state NEW -j NFLOG --nflog-group 1 --nflog-prefix "RULE Transfert -- ACCEPT "`
138	`$IPTABLES -A FORWARD -i $INTIF -m state --state NEW -j ACCEPT`	147	`$IPTABLES -A FORWARD -i $INTIF -m state --state NEW -j ACCEPT`
139		148
140	`#############################`	149	`#############################`
141	`# POSTROUTING #`	150	`# POSTROUTING #`
142	`#############################`	151	`#############################`
143	`# On active le masquage d'adresse par translation (NAT)`	152	`# On active le masquage d'adresse par translation (NAT)`
144	`$IPTABLES -A POSTROUTING -t nat -o $EXTIF -j MASQUERADE`	153	`$IPTABLES -A POSTROUTING -t nat -o $EXTIF -j MASQUERADE`
145		154
146	`# on ne sauvegarde pas les règles. En cas de reboot, on repasse ainsi automatiquement en mode normal (bypass -off)`	155	`# on ne sauvegarde pas les règles. En cas de reboot, on repasse ainsi automatiquement en mode normal (bypass -off)`
147	`# Fin du script des regles du parefeu`	156	`# Fin du script des regles du parefeu`
148		157
149		158
150	`Generated by GNU Enscript 1.6.6.`	159	`Generated by GNU Enscript 1.6.6.`
151		160
152		161
153		162