| Line 1... |
Line 1... |
| 1 |
#!/bin/sh
|
1 |
#!/bin/sh
|
| 2 |
# $Id: alcasar-iptables.sh 339 2010-11-23 23:06:33Z richard $
|
2 |
# $Id: alcasar-iptables.sh 360 2010-12-05 22:50:36Z richard $
|
| 3 |
# script de mise en place des regles du parefeu d'Alcasar (mode normal)
|
3 |
# script de mise en place des regles du parefeu d'Alcasar (mode normal)
|
| 4 |
# Rexy - 3abtux - CPN
|
4 |
# Rexy - 3abtux - CPN
|
| 5 |
# version 2.0 (10/2010)
|
5 |
# version 2.0 (10/2010)
|
| 6 |
# changelog :
|
6 |
# changelog :
|
| 7 |
# + déplacement du fichier firewall 'local' dans /usr/local/etc/alcasar-iptables-local.sh
|
7 |
# + déplacement du fichier firewall 'local' dans /usr/local/etc/alcasar-iptables-local.sh
|
| Line 84... |
Line 84... |
| 84 |
$IPTABLES -A INPUT -i $TUNIF -d $PRIVATE_IP -p tcp --dport 3990 -j ACCEPT
|
84 |
$IPTABLES -A INPUT -i $TUNIF -d $PRIVATE_IP -p tcp --dport 3990 -j ACCEPT
|
| 85 |
|
85 |
|
| 86 |
# On autorise le retour des connexions sortantes (politique ouput accept)
|
86 |
# On autorise le retour des connexions sortantes (politique ouput accept)
|
| 87 |
$IPTABLES -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
|
87 |
$IPTABLES -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
|
| 88 |
|
88 |
|
| 89 |
# On redirige les requêtes DNS sortantes sur BIND local
|
- |
|
| 90 |
# log DNS query present dans log du service BIND query.log --> pas de log dans firewall.log
|
- |
|
| 91 |
#$IPTABLES -A PREROUTING -t nat -i $TUNIF -p udp ! -d $PRIVATE_IP -m udp --dport domain -j ULOG --ulog-prefix "RULE direct-DNS -- REDIRECT "
|
- |
|
| 92 |
$IPTABLES -A PREROUTING -t nat -i $TUNIF -p udp ! -d $PRIVATE_IP --dport domain -j REDIRECT --to-port domain
|
- |
|
| 93 |
#$IPTABLES -A PREROUTING -t nat -i $TUNIF -p tcp ! -d $PRIVATE_IP -m tcp --dport domain -j ULOG --ulog-prefix "RULE direct-DNS -- REDIRECT "
|
- |
|
| 94 |
$IPTABLES -A PREROUTING -t nat -i $TUNIF -p tcp ! -d $PRIVATE_IP --dport domain -j REDIRECT --to-port domain
|
- |
|
| 95 |
|
- |
|
| 96 |
# On interdit les connexions directes sur le port de DansGuardian (8080)
|
89 |
# On interdit les connexions directes sur le port de DansGuardian (8080)
|
| 97 |
# les paquets concernés sont marqués par une règle de PREROUTING (cf. ci-après)
|
90 |
# les paquets concernés sont marqués par une règle de PREROUTING (cf. ci-après)
|
| 98 |
$IPTABLES -A INPUT -i $TUNIF -p tcp --dport 8080 -m mark --mark 1 -j DROP
|
91 |
$IPTABLES -A INPUT -i $TUNIF -p tcp --dport 8080 -m mark --mark 1 -j DROP
|
| 99 |
# On autorise les connexions sur DansGuardian
|
92 |
# On autorise les connexions sur DansGuardian
|
| 100 |
$IPTABLES -A INPUT -i $TUNIF -p tcp --dport 8080 -m state --state NEW --syn -j ACCEPT
|
93 |
$IPTABLES -A INPUT -i $TUNIF -p tcp --dport 8080 -m state --state NEW --syn -j ACCEPT
|