#!/bin/sh# Chemin vers iptablesIPTABLES=/usr/sbin/iptablesMODPROBE=/sbin/modprobe# Loading modules$MODPROBE ip_conntrack_ftp$MODPROBE ip_conntrack_irc##################################################### On vide la table #####################################################$IPTABLES -F##################################################### Log des paquets rejett� #####################################################$IPTABLES -N LOG_DROP$IPTABLES -A LOG_DROP -j LOG --log-prefix '[IPTABLES DROP] : '$IPTABLES -A LOG_DROP -j DROP##################################################### Log des paquets accept� #####################################################$IPTABLES -N LOG_ACCEPT$IPTABLES -A LOG_ACCEPT -j LOG --log-prefix '[IPTABLES ACCEPT] : '$IPTABLES -A LOG_ACCEPT -j ACCEPT##################################################### Log des paquets rejet� par protection #####################################################$IPTABLES -N LOG_PROTECT$IPTABLES -A LOG_PROTECT -j LOG --log-prefix '[IPTABLES PROTECT] : '$IPTABLES -A LOG_PROTECT -j DROP##################################################### Quelques protections de base #####################################################$IPTABLES -N PROTECT# Syn flood$IPTABLES -A PROTECT -p tcp ! --syn -m state --state NEW,INVALID -j LOG_PROTECT# Spoofing$IPTABLES -A PROTECT -s 127.0.0.0/8 -j LOG_PROTECT$IPTABLES -A PROTECT -s 10.0.0.0/8 -j LOG_PROTECT$IPTABLES -A PROTECT -s 169.254.0.0/12 -j LOG_PROTECT$IPTABLES -A PROTECT -s 172.16.0.0/12 -j LOG_PROTECT##################################################### Autoriser la connexion sur les services h�erg� #####################################################$IPTABLES -N SERVICES# Acces FTP$IPTABLES -A SERVICES -p tcp --dport 20:21 -m state --state NEW,ESTABLISHED -j ACCEPT$IPTABLES -A SERVICES -p tcp --dport 45000:45050 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT# Acc� FTP actif $IPTABLES -A SERVICES -p tcp --sport 20 -m state --state ESTABLISHED,RELATED -j ACCEPT# Acc� SSH ( tcp 2022 )$IPTABLES -A SERVICES -p tcp --dport 2022 -m state --state NEW,ESTABLISHED -j ACCEPT# Serveur web ( tcp 80 )$IPTABLES -A SERVICES -p tcp --dport 80 -m state --state NEW,ESTABLISHED -j ACCEPT# Acc� MySQL (tcp 3306)$IPTABLES -A SERVICES -p tcp --dport 3306 -m state --state NEW,ESTABLISHED -j ACCEPT$IPTABLES -A SERVICES -p udp --dport 3306 -m state --state NEW,ESTABLISHED -j ACCEPT# Acc� BitTorrent tcp,udp 40000-40100)$IPTABLES -A SERVICES -p tcp --dport 40000:40100 -m state --state NEW,ESTABLISHED -j ACCEPT$IPTABLES -A SERVICES -p udp --dport 40000:40100 -m state --state NEW,ESTABLISHED -j ACCEPT##################################################### Masquage de l'adresse IP ########################################################################################################## politique par d�aut: On rejette tout ## qui entre, on accepte tout ce qui sort #####################################################$IPTABLES -P INPUT DROP$IPTABLES -P OUTPUT ACCEPT$IPTABLES -P FORWARD DROP##################################################### On laisse tout passer sur le looppback #####################################################$IPTABLES -A INPUT -i lo -j ACCEPT$IPTABLES -A OUTPUT -o lo -j ACCEPT##################################################### On laisse passer les ping #####################################################$IPTABLES -A INPUT -p icmp -j ACCEPT##################################################### R�olution DNS ###################################################### R�olution DNS ( udp 53 )$IPTABLES -A INPUT -p udp --sport 53 -j ACCEPT$IPTABLES -A OUTPUT -p udp --dport 53 -j ACCEPT##################################################### Connexion Sortantes autoris�s ###################################################### On laisse rentrer toute les connections �ablie$IPTABLES -A INPUT -p tcp -m state --state ESTABLISHED -j ACCEPT#$IPTABLES -A INPUT -p udp -m state --state ESTABLISHED -j ACCEPT##################################################### Mise en ouvre du firewall #####################################################$IPTABLES -A INPUT -j PROTECT$IPTABLES -A INPUT -j SERVICES##################################################### Puit pour les paquets non trait� #####################################################$IPTABLES -A INPUT -j LOG_DROP# $IPTABLES -A OUTPUT -j LOG_ACCEPT$IPTABLES -A FORWARD -j LOG_DROP