| Line 1... |
Line 1... |
| 1 |
#!/bin/bash
|
1 |
#!/bin/bash
|
| 2 |
# $Id: alcasar-iptables.sh 1484 2014-11-11 23:14:36Z richard $
|
2 |
# $Id: alcasar-iptables.sh 1486 2014-11-13 11:15:17Z richard $
|
| 3 |
# Script de mise en place des regles du parefeu d'Alcasar (mode normal)
|
3 |
# Script de mise en place des regles du parefeu d'Alcasar (mode normal)
|
| 4 |
# This script writes the netfilter rules for ALCASAR
|
4 |
# This script writes the netfilter rules for ALCASAR
|
| 5 |
# Rexy - 3abtux - CPN
|
5 |
# Rexy - 3abtux - CPN
|
| 6 |
#
|
6 |
#
|
| 7 |
# Reminders
|
7 |
# Reminders
|
| Line 141... |
Line 141... |
| 141 |
#############################
|
141 |
#############################
|
| 142 |
# Marquage des paquets qui tentent d'accéder directement à un serveur sans authentification en mode proxy pour pouvoir les rejeter en INPUT
|
142 |
# Marquage des paquets qui tentent d'accéder directement à un serveur sans authentification en mode proxy pour pouvoir les rejeter en INPUT
|
| 143 |
# Mark packets that attempt to directly access a server without authentication with proxy client to reject them in INPUT rules
|
143 |
# Mark packets that attempt to directly access a server without authentication with proxy client to reject them in INPUT rules
|
| 144 |
#$IPTABLES -A PREROUTING -t mangle -i $TUNIF -s $PRIVATE_NETWORK_MASK -p tcp -m tcp --dport 80 -m string --string 'GET http' --algo bm --from 50 --to 70 -j MARK --set-mark 10
|
144 |
#$IPTABLES -A PREROUTING -t mangle -i $TUNIF -s $PRIVATE_NETWORK_MASK -p tcp -m tcp --dport 80 -m string --string 'GET http' --algo bm --from 50 --to 70 -j MARK --set-mark 10
|
| 145 |
|
145 |
|
| 146 |
# Marquage (et journalisation) des paquets qui tentent d'accéder directement à DansGuardian pour pouvoir les rejeter en INPUT
|
146 |
# Marquage (et journalisation) des paquets qui tentent d'accéder directement au 8080 (DansGuardian) pour pouvoir les rejeter en INPUT
|
| 147 |
# mark (and log) the dansguardian bypass attempts in order to DROP them in INPUT rules
|
147 |
# mark (and log) the dansguardian bypass attempts in order to DROP them in INPUT rules
|
| 148 |
$IPTABLES -A PREROUTING -t nat -i $TUNIF -p tcp -d $PRIVATE_IP -m tcp --dport 8080 -j ULOG --ulog-prefix "RULE direct-proxy -- DENY "
|
148 |
$IPTABLES -A PREROUTING -t nat -i $TUNIF -p tcp -d $PRIVATE_IP -m tcp --dport 8080 -j ULOG --ulog-prefix "RULE direct-proxy -- DENY "
|
| 149 |
$IPTABLES -A PREROUTING -t mangle -i $TUNIF -d $PRIVATE_IP -p tcp -m tcp --dport 8080 -j MARK --set-mark 1
|
149 |
$IPTABLES -A PREROUTING -t mangle -i $TUNIF -d $PRIVATE_IP -p tcp -m tcp --dport 8080 -j MARK --set-mark 1
|
| 150 |
|
150 |
|
| - |
|
151 |
# Marquage (et journalisation) des paquets qui tentent d'accéder directement au port 8090 (tinyproxy) pour pouvoir les rejeter en INPUT
|
| - |
|
152 |
# Mark (and log) the 8090 direct attempts to REJECT them in INPUT rules
|
| - |
|
153 |
$IPTABLES -A PREROUTING -t mangle -i $TUNIF -d $PRIVATE_IP -p tcp -m tcp --dport 8090 -j MARK --set-mark 2
|
| - |
|
154 |
|
| 151 |
# Marquage des paquets qui tentent d'accéder directement au port udp 54 (DNS-blacklist) pour pouvoir les rejeter en INPUT
|
155 |
# Marquage des paquets qui tentent d'accéder directement au port udp 54 (DNS-blacklist) pour pouvoir les rejeter en INPUT
|
| 152 |
# Mark the udp 54 direct attempts (DNS-blacklist) to REJECT them in INPUT rules
|
156 |
# Mark the udp 54 direct attempts (DNS-blacklist) to REJECT them in INPUT rules
|
| 153 |
$IPTABLES -A PREROUTING -t mangle -i $TUNIF -d $PRIVATE_IP -p tcp --dport 54 -j MARK --set-mark 2
|
157 |
$IPTABLES -A PREROUTING -t mangle -i $TUNIF -d $PRIVATE_IP -p tcp --dport 54 -j MARK --set-mark 3
|
| 154 |
|
158 |
|
| 155 |
# Marquage des paquets qui tentent d'accéder directement au port udp 55 (DNS-Whitelist) pour pouvoir les rejeter en INPUT
|
159 |
# Marquage des paquets qui tentent d'accéder directement au port udp 55 (DNS-Whitelist) pour pouvoir les rejeter en INPUT
|
| 156 |
# Mark the udp 55 direct attempts (DNS-whitelist) to REJECT them in INPUT rules
|
160 |
# Mark the udp 55 direct attempts (DNS-whitelist) to REJECT them in INPUT rules
|
| 157 |
$IPTABLES -A PREROUTING -t mangle -i $TUNIF -d $PRIVATE_IP -p tcp --dport 55 -j MARK --set-mark 3
|
161 |
$IPTABLES -A PREROUTING -t mangle -i $TUNIF -d $PRIVATE_IP -p tcp --dport 55 -j MARK --set-mark 4
|
| 158 |
|
162 |
|
| 159 |
# Marquage des paquets qui tentent d'accéder directement au port udp 56 (DNS-Blackhole) pour pouvoir les rejeter en INPUT
|
163 |
# Marquage des paquets qui tentent d'accéder directement au port udp 56 (DNS-Blackhole) pour pouvoir les rejeter en INPUT
|
| 160 |
# Mark the udp 56 direct attempts (DNS-blackhole) to REJECT them in INPUT rules
|
164 |
# Mark the udp 56 direct attempts (DNS-blackhole) to REJECT them in INPUT rules
|
| 161 |
$IPTABLES -A PREROUTING -t mangle -i $TUNIF -d $PRIVATE_IP -p tcp --dport 56 -j MARK --set-mark 4
|
165 |
$IPTABLES -A PREROUTING -t mangle -i $TUNIF -d $PRIVATE_IP -p tcp --dport 56 -j MARK --set-mark 5
|
| 162 |
|
- |
|
| 163 |
# Marquage des paquets qui tentent d'accéder directement au port 8090 (HAVP) pour pouvoir les rejeter en INPUT
|
- |
|
| 164 |
# Mark (and log) the 8090 direct attempts to REJECT them in INPUT rules
|
- |
|
| 165 |
$IPTABLES -A PREROUTING -t mangle -i $TUNIF -d $PRIVATE_IP -p tcp -m tcp --dport 8090 -j MARK --set-mark 5
|
- |
|
| 166 |
|
- |
|
| 167 |
# Marquage des paquets qui tentent d'accéder directement au port 8091 pour pouvoir les rejeter en INPUT
|
- |
|
| 168 |
# Mark (and log) the 8091 direct attempts to REJECT them in INPUT rules
|
- |
|
| 169 |
$IPTABLES -A PREROUTING -t mangle -i $TUNIF -d $PRIVATE_IP -p tcp -m tcp --dport 8091 -j MARK --set-mark 6
|
- |
|
| 170 |
|
166 |
|
| 171 |
# havp_bl_set --> redirection vers le port 54
|
167 |
# havp_bl_set --> redirection vers le port 54
|
| 172 |
# havp_bl_set --> redirect to port 54
|
168 |
# havp_bl_set --> redirect to port 54
|
| 173 |
$IPTABLES -A PREROUTING -t nat -i $TUNIF -m set --match-set havp_bl_set src -d $PRIVATE_IP -p udp --dport domain -j REDIRECT --to-port 54
|
169 |
$IPTABLES -A PREROUTING -t nat -i $TUNIF -m set --match-set havp_bl_set src -d $PRIVATE_IP -p udp --dport domain -j REDIRECT --to-port 54
|
| 174 |
|
170 |
|
| 175 |
# havp_wl_set --> redirection vers le port 55
|
171 |
# havp_wl_set --> redirection vers le port 55
|
| 176 |
# havp_wl_set --> redirect to port 55
|
172 |
# havp_wl_set --> redirect to port 55
|
| 177 |
$IPTABLES -A PREROUTING -t nat -i $TUNIF -m set --match-set havp_wl_set src -d $PRIVATE_IP -p udp --dport domain -j REDIRECT --to-port 55
|
173 |
$IPTABLES -A PREROUTING -t nat -i $TUNIF -m set --match-set havp_wl_set src -d $PRIVATE_IP -p udp --dport domain -j REDIRECT --to-port 55
|
| 178 |
|
174 |
|
| 179 |
# Redirection des requêtes HTTP des IP de la blacklist vers ALCASAR (page 'accès interdit') pour le set havp_bl_set
|
175 |
# Redirection des requêtes HTTP des IP de la blacklist vers ALCASAR (page 'accès interdit') pour le set havp_bl_set
|
| 180 |
# Redirect outbound HTTP requests from blacklist IP to ALCASAR ('access denied' page) for the set havp_bl_set
|
176 |
# Redirect outbound HTTP requests from blacklist IP to ALCASAR ('access denied' page) for the set havp_bl_set
|
| 181 |
$IPTABLES -A PREROUTING -t nat -i $TUNIF -m set --match-set havp_bl_set src -m set --match-set blacklist_ip_blocked dst -p tcp --dport http -j REDIRECT --to-port 80
|
177 |
$IPTABLES -A PREROUTING -t nat -i $TUNIF -m set --match-set havp_bl_set src -m set --match-set blacklist_ip_blocked dst -p tcp --dport http -j REDIRECT --to-port 80
|
| 182 |
|
178 |
|
| 183 |
# Bloquage des requêtes HTTP vers les IP qui ne sont pas dans la WL. Redirection vers ALCASAR : page 'accès interdit'
|
179 |
# Resirection des requêtes HTTP vers les IP qui ne sont pas dans la WL. Redirection vers ALCASAR : page 'accès interdit'
|
| 184 |
# Redirect outbound HTTP requests to IP which are not in the WL. Redirection to ALCASAR : 'access denied' paae
|
180 |
# Redirect outbound HTTP requests to IP which are not in the WL. Redirection to ALCASAR : 'access denied' paae
|
| 185 |
$IPTABLES -A PREROUTING -t nat -i $TUNIF -m set --match-set havp_wl_set src -m set ! --match-set whitelist_ip_allowed dst -p tcp --dport http -j REDIRECT --to-port 80
|
181 |
$IPTABLES -A PREROUTING -t nat -i $TUNIF -m set --match-set havp_wl_set src -m set ! --match-set whitelist_ip_allowed dst -p tcp --dport http -j REDIRECT --to-port 80
|
| 186 |
|
182 |
|
| 187 |
# Journalisation des requètes HTTP sortante des usagers "BL" (seulement les paquets SYN) - Les autres protocoles sont journalisés en FORWARD par netflow
|
183 |
# Journalisation des requètes HTTP sortante des usagers "BL" (seulement les paquets SYN) - Les autres protocoles sont journalisés en FORWARD par netflow
|
| 188 |
# Log HTTP requests to Internet of "BL users" (only syn packets) - Other protocols are logged in FORWARD by netflow
|
184 |
# Log HTTP requests to Internet of "BL users" (only syn packets) - Other protocols are logged in FORWARD by netflow
|
| 189 |
$IPTABLES -A PREROUTING -t nat -i $TUNIF -m set --match-set havp_bl_set src ! -d $PRIVATE_IP -p tcp --dport http -m state --state NEW -j ULOG --ulog-prefix "RULE F_http -- ACCEPT "
|
185 |
$IPTABLES -A PREROUTING -t nat -i $TUNIF -m set --match-set havp_bl_set src ! -d $PRIVATE_IP -p tcp --dport http -m state --state NEW -j ULOG --ulog-prefix "RULE F_http -- ACCEPT "
|
| 190 |
|
186 |
|
| 191 |
# Redirection des requêtes HTTP sortantes des usagers "BL" vers DansGuardian (proxy transparent)
|
187 |
# Redirection des requêtes HTTP sortantes des usagers "BL+antivirus" vers DansGuardian
|
| 192 |
# Redirect outbound HTTP requests of "BL" users to DansGuardian (transparent proxy)
|
188 |
# Redirect outbound HTTP requests of "BL" users to DansGuardian (transparent proxy)
|
| 193 |
$IPTABLES -A PREROUTING -t nat -i $TUNIF -m set --match-set havp_bl_set src ! -d $PRIVATE_IP -p tcp --dport http -j REDIRECT --to-port 8080
|
189 |
$IPTABLES -A PREROUTING -t nat -i $TUNIF -m set --match-set havp_bl_set src ! -d $PRIVATE_IP -p tcp --dport http -j REDIRECT --to-port 8080
|
| 194 |
|
190 |
|
| 195 |
# Redirection des requêtes HTTP sortantes vers HAVP (8091) pour le set havp_set
|
191 |
# Redirection des requêtes HTTP sortantes des usager "WL+antivirus" vers Tinyproxy
|
| 196 |
# Redirect outbound HTTP requests to HAVP (8091) for the set havp_set
|
192 |
# Redirect outbound HTTP requests for "WL-antivirus" users to Tinyproxy
|
| 197 |
$IPTABLES -A PREROUTING -t nat -i $TUNIF -m set --match-set havp_set src ! -d $PRIVATE_IP -p tcp --dport http -j REDIRECT --to-port 8091
|
- |
|
| 198 |
|
- |
|
| 199 |
# Redirection des requêtes HTTP sortantes vers HAVP pour le set havp_wl_set
|
- |
|
| 200 |
# Redirect outbound HTTP requests to HAVP for the set havp_wl_set
|
- |
|
| 201 |
$IPTABLES -A PREROUTING -t nat -i $TUNIF -m set --match-set havp_wl_set src ! -d $PRIVATE_IP -p tcp --dport http -j REDIRECT --to-port 8090
|
193 |
$IPTABLES -A PREROUTING -t nat -i $TUNIF -m set --match-set havp_wl_set src ! -d $PRIVATE_IP -p tcp --dport http -j REDIRECT --to-port 8090
|
| 202 |
|
194 |
|
| 203 |
# Redirection des requêtes NTP vers le serveur NTP local
|
195 |
# Redirection des requêtes NTP vers le serveur NTP local
|
| 204 |
# Redirect NTP request in local NTP server
|
196 |
# Redirect NTP request in local NTP server
|
| 205 |
$IPTABLES -A PREROUTING -t nat -i $TUNIF -s $PRIVATE_NETWORK_MASK ! -d $PRIVATE_IP -p udp --dport ntp -j REDIRECT --to-port 123
|
197 |
$IPTABLES -A PREROUTING -t nat -i $TUNIF -s $PRIVATE_NETWORK_MASK ! -d $PRIVATE_IP -p udp --dport ntp -j REDIRECT --to-port 123
|
| Line 223... |
Line 215... |
| 223 |
|
215 |
|
| 224 |
# On rejette les trame en broadcast et en multicast sur EXTIF (évite leur journalisation)
|
216 |
# On rejette les trame en broadcast et en multicast sur EXTIF (évite leur journalisation)
|
| 225 |
# Drop broadcast & multicast on EXTIF to avoid log
|
217 |
# Drop broadcast & multicast on EXTIF to avoid log
|
| 226 |
$IPTABLES -A INPUT -i $EXTIF -m addrtype --dst-type BROADCAST,MULTICAST -j DROP
|
218 |
$IPTABLES -A INPUT -i $EXTIF -m addrtype --dst-type BROADCAST,MULTICAST -j DROP
|
| 227 |
|
219 |
|
| 228 |
# On rejette les trames marquées dans PREROUTING MANGLE sur marqueur HTTP/header mark 3
|
- |
|
| 229 |
# Tagged frames are discarded in PREROUTING MANGLE over HTTP/header marker mark 3
|
- |
|
| 230 |
#$IPTABLES -A INPUT -i $TUNIF -s $PRIVATE_NETWORK_MASK -p tcp --dport 8080 -m mark --mark 10 -j REJECT --reject-with tcp-reset
|
- |
|
| 231 |
|
- |
|
| 232 |
# On autorise les retours de connexions légitimes par INPUT
|
220 |
# On autorise les retours de connexions légitimes par INPUT
|
| 233 |
# Conntrack on INPUT
|
221 |
# Conntrack on INPUT
|
| 234 |
$IPTABLES -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
|
222 |
$IPTABLES -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
|
| 235 |
|
223 |
|
| 236 |
# On interdit les connexions directes au port utilisé par DansGuardian (8080). Les packets concernés ont été marqués et loggués dans la table mangle (PREROUTING)
|
224 |
# On interdit les connexions directes au port utilisé par DansGuardian (8080). Les packets concernés ont été marqués et loggués dans la table mangle (PREROUTING)
|
| 237 |
# Deny direct connections on DansGuardian port (8080). The concerned paquets are marked and logged in mangle table (PREROUTING)
|
225 |
# Deny direct connections on DansGuardian port (8080). The concerned paquets have been marked and logged in mangle table (PREROUTING)
|
| 238 |
$IPTABLES -A INPUT -i $TUNIF -p tcp --dport 8080 -m mark --mark 1 -j REJECT --reject-with tcp-reset
|
226 |
$IPTABLES -A INPUT -i $TUNIF -p tcp --dport 8080 -m mark --mark 1 -j REJECT --reject-with tcp-reset
|
| 239 |
|
227 |
|
| 240 |
# Autorisation des connexions légitimes à DansGuardian
|
228 |
# Autorisation des connexions légitimes à DansGuardian
|
| 241 |
# Allow connections for DansGuardian
|
229 |
# Allow connections for DansGuardian
|
| 242 |
$IPTABLES -A INPUT -i $TUNIF -s $PRIVATE_NETWORK_MASK -p tcp --dport 8080 -m state --state NEW --syn -j ACCEPT
|
230 |
$IPTABLES -A INPUT -i $TUNIF -s $PRIVATE_NETWORK_MASK -p tcp --dport 8080 -m state --state NEW --syn -j ACCEPT
|
| 243 |
|
231 |
|
| - |
|
232 |
# On interdit les connexions directes au port utilisé par tinyproxy (8090). Les packets concernés ont été marqués et loggués dans la table mangle (PREROUTING)
|
| - |
|
233 |
# Deny direct connections on tinyproxy port (8090). The concerned paquets have been marked in mangle table (PREROUTING)
|
| - |
|
234 |
$IPTABLES -A INPUT -i $TUNIF -p tcp --dport 8090 -m mark --mark 2 -j REJECT --reject-with tcp-reset
|
| - |
|
235 |
|
| - |
|
236 |
# Autorisation des connexions légitimes vers tinyproxy
|
| - |
|
237 |
# Allow connections to tinyproxy
|
| - |
|
238 |
$IPTABLES -A INPUT -i $TUNIF -s $PRIVATE_NETWORK_MASK -p tcp --dport 8090 -m state --state NEW --syn -j ACCEPT
|
| - |
|
239 |
|
| 244 |
# On interdit les connexions directes au port UDP 54 (DNS-blacklist). Les packets concernés ont été marqués dans la table mangle (PREROUTING)
|
240 |
# On interdit les connexions directes au port UDP 54 (DNS-blacklist). Les packets concernés ont été marqués dans la table mangle (PREROUTING)
|
| 245 |
# Deny direct connections on UDP 54 (DNS-blacklist). The concerned paquets are marked in mangle table (PREROUTING)
|
241 |
# Deny direct connections on UDP 54 (DNS-blacklist). The concerned paquets are marked in mangle table (PREROUTING)
|
| 246 |
$IPTABLES -A INPUT -i $TUNIF -p tcp --dport 54 -m mark --mark 2 -j REJECT --reject-with icmp-port-unreachable
|
242 |
$IPTABLES -A INPUT -i $TUNIF -p tcp --dport 54 -m mark --mark 3 -j REJECT --reject-with icmp-port-unreachable
|
| 247 |
|
243 |
|
| 248 |
# On interdit les connexions directes au port UDP 55 (DNS-whitelist). Les packets concernés ont été marqués dans la table mangle (PREROUTING)
|
244 |
# On interdit les connexions directes au port UDP 55 (DNS-whitelist). Les packets concernés ont été marqués dans la table mangle (PREROUTING)
|
| 249 |
# Deny direct connections on UDP 55 (DNS-whitelist). The concerned paquets are marked in mangle table (PREROUTING)
|
245 |
# Deny direct connections on UDP 55 (DNS-whitelist). The concerned paquets are marked in mangle table (PREROUTING)
|
| 250 |
$IPTABLES -A INPUT -i $TUNIF -p tcp --dport 55 -m mark --mark 3 -j REJECT --reject-with icmp-port-unreachable
|
246 |
$IPTABLES -A INPUT -i $TUNIF -p tcp --dport 55 -m mark --mark 4 -j REJECT --reject-with icmp-port-unreachable
|
| 251 |
|
247 |
|
| 252 |
# On interdit les connexions directes au port UDP 56 (DNS-Blackhole). Les packets concernés ont été marqués dans la table mangle (PREROUTING)
|
248 |
# On interdit les connexions directes au port UDP 56 (DNS-Blackhole). Les packets concernés ont été marqués dans la table mangle (PREROUTING)
|
| 253 |
# Deny direct connections on UDP 56 (DNS-blackhole). The concerned paquets are marked in mangle table (PREROUTING)
|
249 |
# Deny direct connections on UDP 56 (DNS-blackhole). The concerned paquets are marked in mangle table (PREROUTING)
|
| 254 |
$IPTABLES -A INPUT -i $TUNIF -p tcp --dport 56 -m mark --mark 4 -j REJECT --reject-with icmp-port-unreachable
|
250 |
$IPTABLES -A INPUT -i $TUNIF -p tcp --dport 56 -m mark --mark 5 -j REJECT --reject-with icmp-port-unreachable
|
| 255 |
|
- |
|
| 256 |
# On interdit les connexions directes au port 8090. Les packets concernés ont été marqués dans la table mangle (PREROUTING)
|
- |
|
| 257 |
# Deny direct connections on 8090. The concerned paquets are marked in mangle table (PREROUTING)
|
- |
|
| 258 |
$IPTABLES -A INPUT -i $TUNIF -p tcp --dport 8090 -m mark --mark 5 -j REJECT --reject-with tcp-reset
|
- |
|
| 259 |
|
- |
|
| 260 |
# On interdit les connexions directes au port 8091. Les packets concernés ont été marqués dans la table mangle (PREROUTING)
|
- |
|
| 261 |
# Deny direct connections on 8091. The concerned paquets are marked in mangle table (PREROUTING)
|
- |
|
| 262 |
$IPTABLES -A INPUT -i $TUNIF -p tcp --dport 8091 -m mark --mark 6 -j REJECT --reject-with tcp-reset
|
- |
|
| 263 |
|
- |
|
| 264 |
# Autorisation des connexions légitimes à HAVP
|
- |
|
| 265 |
# Allow connections for HAVP
|
- |
|
| 266 |
$IPTABLES -A INPUT -i $TUNIF -s $PRIVATE_NETWORK_MASK -p tcp --dport 8090 -m state --state NEW --syn -j ACCEPT
|
- |
|
| 267 |
|
- |
|
| 268 |
# Autorisation des connexions légitimes à HAVP
|
- |
|
| 269 |
# Allow connections for HAVP
|
- |
|
| 270 |
$IPTABLES -A INPUT -i $TUNIF -s $PRIVATE_NETWORK_MASK -p tcp --dport 8091 -m state --state NEW --syn -j ACCEPT
|
- |
|
| 271 |
|
251 |
|
| 272 |
# autorisation des connexion légitime à DNSMASQ (avec blacklist)
|
252 |
# autorisation des connexion légitime à DNSMASQ (avec blacklist)
|
| 273 |
# Allow connections for DNSMASQ (with blacklist)
|
253 |
# Allow connections for DNSMASQ (with blacklist)
|
| 274 |
$IPTABLES -A INPUT -i $TUNIF -s $PRIVATE_NETWORK_MASK -d $PRIVATE_IP -p udp --dport 54 -j ACCEPT
|
254 |
$IPTABLES -A INPUT -i $TUNIF -s $PRIVATE_NETWORK_MASK -d $PRIVATE_IP -p udp --dport 54 -j ACCEPT
|
| 275 |
|
255 |
|