Subversion Repositories ALCASAR

#!/bin/bash

#!/bin/bash

# Script de mise en place des regles du parefeu d'Alcasar (mode normal)

# Script de mise en place des regles du parefeu d'Alcasar (mode normal)

# This script writes the netfilter rules for ALCASAR

# This script writes the netfilter rules for ALCASAR

# Rexy - 3abtux - CPN

# Rexy - 3abtux - CPN

#

#

# Reminders

# Reminders

# Mark packets that attempt to directly access a server without authentication with proxy client to reject them in INPUT rules

# Mark packets that attempt to directly access a server without authentication with proxy client to reject them in INPUT rules

#$IPTABLES -A PREROUTING -t mangle -i $TUNIF -s $PRIVATE_NETWORK_MASK -p tcp -m tcp --dport 80 -m string --string 'GET http' --algo bm --from 50 --to 70 -j MARK --set-mark 10

#$IPTABLES -A PREROUTING -t mangle -i $TUNIF -s $PRIVATE_NETWORK_MASK -p tcp -m tcp --dport 80 -m string --string 'GET http' --algo bm --from 50 --to 70 -j MARK --set-mark 10

# Marquage (et journalisation) des paquets qui tentent d'accéder directement au 8080 (DansGuardian) pour pouvoir les rejeter en INPUT

# Marquage (et journalisation) des paquets qui tentent d'accéder directement au 8080 (DansGuardian) pour pouvoir les rejeter en INPUT

# Mark (and log) the direct attempts to TCP port 8090 (dansguardian) in order to REJECT them in INPUT rules

# Mark (and log) the direct attempts to TCP port 8090 (dansguardian) in order to REJECT them in INPUT rules

$IPTABLES -A PREROUTING -t mangle -i $TUNIF -d $PRIVATE_IP -p tcp -m tcp --dport 8080 -j MARK --set-mark 1

$IPTABLES -A PREROUTING -t mangle -i $TUNIF -d $PRIVATE_IP -p tcp -m tcp --dport 8080 -j MARK --set-mark 1

# Marquage (et journalisation) des paquets qui tentent d'accéder directement au port 8090 (tinyproxy) pour pouvoir les rejeter en INPUT

# Marquage (et journalisation) des paquets qui tentent d'accéder directement au port 8090 (tinyproxy) pour pouvoir les rejeter en INPUT

# Mark (and log) the direct attempts to TCP port 8090 (tinyproxy) in order to REJECT them in INPUT rules

# Mark (and log) the direct attempts to TCP port 8090 (tinyproxy) in order to REJECT them in INPUT rules

$IPTABLES -A PREROUTING -t mangle -i $TUNIF -d $PRIVATE_IP -p tcp -m tcp --dport 8090 -j MARK --set-mark 2

$IPTABLES -A PREROUTING -t mangle -i $TUNIF -d $PRIVATE_IP -p tcp -m tcp --dport 8090 -j MARK --set-mark 2

# Marquage des paquets qui tentent d'accéder directement au port 54 (DNS-blacklist) pour pouvoir les rejeter en INPUT

# Marquage des paquets qui tentent d'accéder directement au port 54 (DNS-blacklist) pour pouvoir les rejeter en INPUT

# Mark the direct attempts to port 54 (DNS-blacklist) in order to REJECT them in INPUT rules

# Mark the direct attempts to port 54 (DNS-blacklist) in order to REJECT them in INPUT rules

$IPTABLES -A PREROUTING -t mangle -i $TUNIF -d $PRIVATE_IP -p tcp --dport 54 -j MARK --set-mark 3

$IPTABLES -A PREROUTING -t mangle -i $TUNIF -d $PRIVATE_IP -p tcp --dport 54 -j MARK --set-mark 3

# redirect DNS of 'havp_wl' users to port 55

# redirect DNS of 'havp_wl' users to port 55

$IPTABLES -A PREROUTING -t nat -i $TUNIF -m set --match-set havp_wl src -d $PRIVATE_IP -p udp --dport domain -j REDIRECT --to-port 55

$IPTABLES -A PREROUTING -t nat -i $TUNIF -m set --match-set havp_wl src -d $PRIVATE_IP -p udp --dport domain -j REDIRECT --to-port 55

# Journalisation HTTP_Internet des usagers 'havp_bl' (paquets SYN uniquement). Les autres protocoles sont journalisés en FORWARD par netflow. 

# Journalisation HTTP_Internet des usagers 'havp_bl' (paquets SYN uniquement). Les autres protocoles sont journalisés en FORWARD par netflow. 

# Log Internet HTTP of 'havp_bl' users" (only syn packets). Other protocols are logged in FORWARD by netflow

# Log Internet HTTP of 'havp_bl' users" (only syn packets). Other protocols are logged in FORWARD by netflow

# Redirection HTTP des usagers 'havp_bl' cherchant à joindre les IP de la blacklist vers ALCASAR (page 'accès interdit')

# Redirection HTTP des usagers 'havp_bl' cherchant à joindre les IP de la blacklist vers ALCASAR (page 'accès interdit')

# Redirect HTTP of 'havp_bl' users who want blacklist IP to ALCASAR ('access denied' page)

# Redirect HTTP of 'havp_bl' users who want blacklist IP to ALCASAR ('access denied' page)

$IPTABLES -A PREROUTING -t nat -i $TUNIF -m set --match-set havp_bl src -m set --match-set bl_ip_blocked dst -p tcp --dport http -j REDIRECT --to-port 80

$IPTABLES -A PREROUTING -t nat -i $TUNIF -m set --match-set havp_bl src -m set --match-set bl_ip_blocked dst -p tcp --dport http -j REDIRECT --to-port 80

        . /usr/local/etc/alcasar-iptables-local.sh

        . /usr/local/etc/alcasar-iptables-local.sh

fi

fi

# Journalisation et rejet des connexions (autres que celles autorisées) effectuées depuis le LAN

# Journalisation et rejet des connexions (autres que celles autorisées) effectuées depuis le LAN

# Deny and log on INPUT from the LAN

# Deny and log on INPUT from the LAN

$IPTABLES -A INPUT -i $TUNIF -p tcp -j REJECT --reject-with tcp-reset

$IPTABLES -A INPUT -i $TUNIF -p tcp -j REJECT --reject-with tcp-reset

$IPTABLES -A INPUT -i $TUNIF -p udp -j REJECT --reject-with icmp-port-unreachable

$IPTABLES -A INPUT -i $TUNIF -p udp -j REJECT --reject-with icmp-port-unreachable

# Interdiction d'accès à INTIF (n'est utile que lorsque chilli est arrêté).

# Interdiction d'accès à INTIF (n'est utile que lorsque chilli est arrêté).

# Reject INTIF access (only when chilli is down)

# Reject INTIF access (only when chilli is down)

$IPTABLES -A INPUT -i $INTIF -j REJECT

$IPTABLES -A INPUT -i $INTIF -j REJECT

# Journalisation et rejet des connexions initiées depuis le réseau extérieur (test des effets du paramètre --limit en cours)

# Journalisation et rejet des connexions initiées depuis le réseau extérieur (test des effets du paramètre --limit en cours)

# On EXTIF, the access attempts are log in channel 2 (we should test --limit option to avoid deny of service)

# On EXTIF, the access attempts are log in channel 2 (we should test --limit option to avoid deny of service)

$IPTABLES -A INPUT -i $EXTIF -m state --state NEW -j NFLOG --nflog-group 3 --nflog-threshold 10 --nflog-prefix "RULE rej-ext -- DROP"

$IPTABLES -A INPUT -i $EXTIF -m state --state NEW -j NFLOG --nflog-group 3 --nflog-threshold 10 --nflog-prefix "RULE rej-ext -- DROP"