Andesi - forum

#!/bin/sh
# Pour info :
#eth0=carte coté routeur
#eth1=carte coté réseau local

# Activation du forwarding

echo 1 > /proc/sys/net/ipv4/ip_forward

# Pour empêcher les attaques de type spoofing
# et bloquer les réponses ICMP du firewall,
# Attention, le fait de bloquer le trafic ICMP sur
# le firewall bloque les pings.

# Pas de spoofing

if [ -e /proc/sys/net/ipv4/conf/all/rp_filter ]
then
for filtre in /proc/sys/net/ipv4/conf/*/rp_filter
do
echo 1 > $filtre
done
fi

# pas de icmp

echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_all
echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_broadcasts

# Pour faire bien, on va vider toutes les règles
# avant d'appliquer les nouvelles règles de firewall

iptables -F
iptables -X

# Ajout de 2 nouvelles chaînes.
# Ceci permettra d'ajouter des nouvelles cibles qui
# auront la possibilité de loguer ce qui se passe.

# La on logue et on refuse le paquet,
# on rajoute un préfixe pour pouvoir
# s'y retrouver dans les logs
iptables -N LOG_DROP
iptables -A LOG_DROP -j LOG --log-prefix '[IPTABLES DROP] : '
iptables -A LOG_DROP -j DROP

# ici, on logue et on accepte le paquet,
# on rajoute un préfixe pour pouvoir
# s'y retrouver dans les logs
iptables -N LOG_ACCEPT
iptables -A LOG_ACCEPT -j LOG --log-prefix '[IPTABLES ACCEPT] : '
iptables -A LOG_ACCEPT -j ACCEPT

# Par defaut on refuse tout

iptables -P INPUT DROP
iptables -P OUTPUT DROP
iptables -P FORWARD DROP

# Pour éviter les problèmes, on va tout accepter sur
# la machine en local (interface lo).

iptables -A INPUT -i lo -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT

# FIN partie initialisation ####################################################################################

# Protection comtre nmap

iptables -A FORWARD -p tcp --tcp-flags SYN,ACK,FIN,RST RST -m limit --limit 1/s -j ACCEPT

# Protection contre le Syn Flood

iptables -A FORWARD -p tcp --syn -m limit --limit 1/second -J ACCEPT

# Protection contre le chargen Chargen Denial of Service Attack UDP Flood

iptables -A FORWARD -p udp -m limit --limit 1/second -J ACCEPT

# Protection contre Smurfing

iptables -A FORWARD -p icmp --icmp-type echo-request -m limit --limit 1/second -J ACCEPT

# Autorisation pour que le proxy ait une connexion
# internet directe.
# Mise en place des états

iptables -A OUTPUT -o eth0 -m state --state NEW,ESTABLISHED -p tcp --dport 80 -j ACCEPT
iptables -A INPUT -i eth0 -m state --state ESTABLISHED -p tcp --sport 80 -j ACCEPT

# Redirection vers le proxy squid

iptables -t nat -A PREROUTING -i eth1 -p tcp --dport 80 -j DNAT --to-destination 192.168.1.76:3128

# Redirection vers le serveur web

iptables -t nat -A PREROUTING -d 192.168.1.168 -p tcp --dport 80 -j DNAT --to-destination 192.168.1.77:80

# Configuration du firewall #####################################################################################

# Autorisation connexion ssh
# (port 22) provenant d'une machine exterieure

iptables -A INPUT -i eth0 -s 0/0 -m state --state NEW,ESTABLISHED -p tcp --dport ssh -j LOG_ACCEPT
iptables -A OUTPUT -o eth0 -d 0/0 -m state --state ESTABLISHED -p tcp --sport ssh -j LOG_ACCEPT

# On veut que le LAN connecté à l'interface
# eth0 ait un accès complet à internet.
# La règle de NAT qui permettait d'avoir
# un proxy transparent sera automatiquement
# appliqué. L'interface correspondant
# à la connexion internet est ici eth0

iptables -A FORWARD -i eth1 -o eth0 -j ACCEPT
iptables -A FORWARD -o eth1 -i eth0 -j ACCEPT

# Maintenant il n'y a plus qu'à dire au firewall
# d'autoriser à transmettre des paquets TCP à
# destination du port 80 provenant de l'adresse
# IP publique (i.e. d'internet) vers le serveur
# web que nous avons naté précédemment.

iptables -A FORWARD -i eth0 -o eth1 -p tcp --destination-port 80 -m state --state NEW,ESTABLISHED -j ACCEPT
iptables -A FORWARD -o eth0 -i eth1 -p tcp --source-port 80 -m state --state ESTABLISHED -j ACCEPT

# Il faut permettre à l'ensemble du LAN de dialoguer
# sur internet avec la même adresse IP.

iptables -t nat -A POSTROUTING -s 192.168.1.0/255.255.255.0 -j MASQUERADE

# Toutes les règles qui n'ont pas passé les
# règles du firewall seront refusées et loguées...
# facile :

iptables -A FORWARD -j LOG_DROP
iptables -A INPUT -j LOG_DROP
iptables -A OUTPUT -j LOG_DROP

# Contre Emule

iptables -A INPUT -p tcp --dport 4662 -m state --state NEW,ESTABLISHED,RELATED -j LOG_DROP
iptables -A INPUT -p udp --dport 4665 -m state --state ESTABLISHED,RELATED -j LOG_DROP
iptables -A INPUT -p udp --dport 4672 -m state --state ESTABLISHED,RELATED -j LOG_DROP

# Pour faire zoli
echo " [Termine]"

# c'est enfin fini