#!/bin/sh
#
# Script de démarrage qui lance l'interface réseau internet,
# met en place un firewall basique et un partage de connexion
#
# Inspiré du script de Mjules_at_ifrance.com
#
start() {
# init du la périphérique internet (ici derriere un modem ADSL ethernet, DHCP client)
/sbin/ifup eth0
# Dans cette partie, on met en place le firewall
#vidage des chaines
iptables -F
#destruction des chaines personnelles
iptables -X
#stratégies par défaut
iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT ACCEPT
#init des tables NAT et MANGLE (pas forcément nécessaire)
iptables -t nat -F
iptables -t nat -X
iptables -t nat -P PREROUTING ACCEPT
iptables -t nat -P POSTROUTING ACCEPT
iptables -t nat -P OUTPUT ACCEPT
iptables -t mangle -F
iptables -t mangle -X
iptables -t mangle -P PREROUTING ACCEPT
iptables -t mangle -P OUTPUT ACCEPT
# Acceptation de toutes les connexions en local (un process avec l'autre)
iptables -A INPUT -i lo -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT
# PORT FORWARDING:
# attention : on ne peut malheureusement pas mettre un nom de machine en destination, il faut mettre l'adresse IP.
# exemple : on veut qu'un serveur HTTP installé sur une machine du réseau local soit visible depuis l'extérieur.
###iptables -t nat -A PREROUTING -i eth1 -p tcp --dport 80 -j DNAT --to-destination 192.168.10.121:80
###iptables -A FORWARD -p tcp -i eth1 --dport 80 -j ACCEPT
#création d'une nouvelle règle
iptables -N PARTAGE
#définition de la règle : accepter les nouvelles connexions ne venant pas de l'interface internet
# et accepter toutes les connexions établies et reliées (ex: une demande de page HTML provoque l'ouverture
# d'une connexion reliée pour acheminer cette page vers l'ordinateur)
iptables -A PARTAGE -m state --state NEW -i! eth0 -j ACCEPT
iptables -A PARTAGE -m state --state ESTABLISHED,RELATED -j ACCEPT
#application de la règle au partage de connexion
iptables -A INPUT -j PARTAGE
iptables -A FORWARD -j PARTAGE
iptables -A OUTPUT -j PARTAGE
# activation du forwarding dans le noyau
# mise en place du partage de connexion sur le réseau local
echo 1 >/proc/sys/net/ipv4/ip_forward
iptables -t nat -A POSTROUTING -s 192.168.2.0/24 -o eth0 -j MASQUERADE
echo 1 >/proc/sys/net/ipv4/ip_forward
iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -o eth0 -j MASQUERADE
#création d'une nouvelle règle
#iptables -N DNS
#définition de la règle : accepter les nouvelles connexions ne venant pas de l'interface internet
# et accepter toutes les connexions établies et reliées (ex: une demande de page HTML provoque l'ouverture
# d'une connexion reliée pour acheminer cette page vers l'ordinateur)
#iptables -A DNS -m state --state NEW,ESTABLISHED,RELATED -i eth0 -p udp --dport 53 -j ACCEPT
#iptables -A DNS -m state --state NEW,ESTABLISHED,RELATED -o eth0 -p udp --dport 53 -j ACCEPT
#application de la règle au partage de connexion
#iptables -A INPUT -j DNS
#iptables -A FORWARD -j DNS
#iptables -A OUTPUT -j DNS
#création d'une nouvelle règle
#iptables -N HTTP
#définition de la règle : accepter les nouvelles connexions ne venant pas de l'interface internet
# et accepter toutes les connexions établies et reliées (ex: une demande de page HTML provoque l'ouverture
# d'une connexion reliée pour acheminer cette page vers l'ordinateur)
#iptables -A HTTP -m state --state NEW,ESTABLISHED,RELATED -i eth0 -p tcp --dport 80 -j ACCEPT
#iptables -A HTTP -m state --state NEW,ESTABLISHED,RELATED -o eth0 -p tcp --dport 80 -j ACCEPT
#application de la règle au partage de connexion
#iptables -A INPUT -j HTTP
#iptables -A FORWARD -j HTTP
#iptables -A OUTPUT -j HTTP
# DNS
iptables -A INPUT -p udp -i eth0 --dport 53 -j ACCEPT
iptables -A OUTPUT -p udp -o eth0 --dport 53 -j ACCEPT
# HTTP
iptables -A INPUT -p tcp -i eth0 --dport 80 -j ACCEPT
iptables -A OUTPUT -p tcp -o eth0 --dport 80 -j ACCEPT
# samba local
iptables -A OUTPUT -p tcp -o eth0 --dport 445 -j DROP
iptables -A OUTPUT -p udp -o eth0 --dport 445 -j DROP
iptables -A OUTPUT -p tcp -o eth0 --dport 137:139 -j DROP
iptables -A OUTPUT -p udp -o eth0 --dport 137:139 -j DROP
iptables -A INPUT -p tcp -i eth0 --dport 445 -j DROP
iptables -A INPUT -p udp -i eth0 --dport 445 -j DROP
iptables -A INPUT -p tcp -i eth0 --dport 137:139 -j DROP
iptables -A INPUT -p udp -i eth0 --dport 137:139 -j DROP
# ipp local
iptables -A OUTPUT -p tcp -o eth0 --dport 631 -j DROP
iptables -A OUTPUT -p udp -o eth0 --dport 631 -j DROP
iptables -A INPUT -p tcp -i eth0 --dport 631 -j DROP
iptables -A INPUT -p udp -i eth0 --dport 631 -j DROP
# rpcbind
iptables -A OUTPUT -p tcp -o eth0 --dport 111 -j DROP
iptables -A OUTPUT -p udp -o eth0 --dport 111 -j DROP
iptables -A INPUT -p tcp -i eth0 --dport 111 -j DROP
iptables -A INPUT -p udp -i eth0 --dport 111 -j DROP
# auth
iptables -A OUTPUT -p tcp -o eth0 --dport 113 -j DROP
iptables -A OUTPUT -p udp -o eth0 --dport 113 -j DROP
iptables -A INPUT -p tcp -i eth0 --dport 113 -j DROP
iptables -A INPUT -p udp -i eth0 --dport 113 -j DROP
#rndc dns admin
iptables -A OUTPUT -p tcp -o eth0 --dport 953 -j DROP
iptables -A OUTPUT -p udp -o eth0 --dport 953 -j DROP
iptables -A INPUT -p tcp -i eth0 --dport 953 -j DROP
iptables -A INPUT -p udp -i eth0 --dport 953 -j DROP
#rndc dns admin
iptables -A OUTPUT -p tcp -o eth0 --dport 855 -j DROP
iptables -A OUTPUT -p udp -o eth0 --dport 855 -j DROP
iptables -A INPUT -p tcp -i eth0 --dport 855 -j DROP
iptables -A INPUT -p udp -i eth0 --dport 855 -j DROP
#xdmcp
iptables -A INPUT -p udp -i eth0 --dport 177 -j DROP
iptables -A INPUT -p tcp -i eth0 --dport 6000:6009 -j DROP
iptables -A OUTPUT -p udp -o eth0 --dport 177 -j DROP
iptables -A OUTPUT -p tcp -o eth0 --dport 6000:6009 -j DROP
iptables -A INPUT -p udp -i eth2 --dport 177 -j DROP
iptables -A INPUT -p tcp -i eth2 --dport 6000:6009 -j DROP
iptables -A OUTPUT -p udp -o eth2 --dport 177 -j DROP
iptables -A OUTPUT -p tcp -o eth2 --dport 6000:6009 -j DROP
}
stop() {
echo 0 >/proc/sys/net/ipv4/ip_forward
ifdown eth0
}
case "$1" in
start)
start
;;
stop)
stop
;;
restart)
stop && start
;;
*)
echo "Usage $0 {start|stop|restart}"
exit 1
esac
exit 0