Newsgroup: it.comp.os.linux.iniziare
Titolo: [per esperti] rc.firewall (scusate, lungo!)

Sotto ho postato il mio script rc.firewall che andrò a mettere in /etc/rc.d
eseguibile così lo carica MDK al boot
volevo chiedere a qualcuno un pò esperto come decido l'ordine di inserimento
delle regole perchè indubbiamente se metto
es: iptables -P INPUT DROP e poi iptables -F, vanifico la prima regola
azzerandola.
La mia rete è così composta:  Router ADSL <--> ETH1 <-- MDK 8.2 --> ETH0
<--> HUB --> LAN (192.168.x.x)
grazie a tutti, con questo NG ho imparato tante cose
--
LukeNukem
#!/bin/bash
#
#Regole per rc.firewall attivate da IPTABLES
#
#
#pulisci ogni regola attualmente configurata azzero tutti i contatori
iptables -F
iptables -t nat -F
iptables -X
iptables -Z
#
#Definisco una politica di DROP per la catena di INPUT e FORWARD
#iptables -P INPUT DROP #commentata perchè da capire poi come abilitare
INPUT dalla mia LAN alla MDK
#iptables -P FORWARD DROP #commentata perchè da capire poi come abilitare
FORWARD dalla mia LAN alla MDK
#Definisco una politica di ACCEPT per la catena OUTPUT
#iptables -P OUTPUT ACCEPT        #commentata perchè in base alle prime due
mi regolo di conseguenza anche se cmq OUTPUT
                                               #può essere ACCEPT
tranquillamente
#
#no ICMP
echo "1" > /proc/sys/net/ipv4/icmp_echo_ignore_all
echo "1" > /proc/sys/net/ipv4/icmp_echo_ignore_broadcasts
#
#Disabilito i pacchetti indirizzati alla sorgente e i pacchetti ICMP
rediretti
echo "0" > /proc/sys/net/ipv4/conf/eth1/accept_source_route
echo "0" > /proc/sys/net/ipv4/conf/eth1/accept_redirects
#
#abilito l'ignore sui pacchetti ICMP d'errore malformati
echo "1" > /proc/sys/net/ipv4/icmp_ignore_bogus_error_responses
echo "1" > /proc/sys/net/ipv4/conf/eth1/log_martians
echo "1" > /proc/sys/net/ipv4/conf/eth1/rp_filter
#
#abilito la protezione dal Syn-flood
echo "1" > /proc/sys/net/ipv4/tcp_syncookies
#
#abilito l'IP forwarding
echo "1" > /proc/sys/net/ipv4/ip_forward
#
#tutta la rete intranet può accedere
iptables -A INPUT -i eth0 -s 
192.168.0.0/24
 -j ACCEPT #funziona se
iptables -P INPUT è DROP???
#
#accetta tutte le connessioni correlate a quella da me iniziata
iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT
#
#creo una catena per la blacklist
iptables -N blacklist
iptables -A FORWARD -s 
0.0.0.0/0
 -d 
www.deejay.it
 -j blacklist
#con OUTPUT non funziona
iptables -A FORWARD -s 
0.0.0.0/0
 -d 217.169.112.9 -j blacklist
#con OUTPUT non funziona
iptables -A FORWARD -s 
0.0.0.0/0
 -d 
www.alfemminile.com
 -j blacklist
#con OUTPUT non funziona
iptables -A blacklist -j DROP
#
#Creo una catena di protezione dal Syn-flood
iptables -N syn-flood
iptables -A INPUT -i eth1 -p tcp --syn -j syn-flood
#iptables -A syn-flood -m limit --limit 1/s --limit burst 4 -j RETURN
#commentata perchè mi dà errore
iptables -A syn-flood -j DROP
#
#Scarto i pacchetti che cercano di stabilire una nuova connessione
#ma che non sono SYN TCP/IP corretti, nonchè i pacchetti frammentati
iptables -A INPUT -i eth1 -p tcp ! --syn -m state --state NEW -j DROP
iptables -A INPUT -i eth1 -f -j DROP
#
#Definisco una serie di politiche aggiuntive per prevenire diversi tipi
#di spoofing
iptables -A INPUT -i eth1 -s xxx.xxx.xxx.xxx -j DROP
iptables -A INPUT -i eth1 -s 
10.0.0.0/8
 -j DROP
iptables -A INPUT -i eth1 -s 
172.16.0.0/12
 -j DROP
iptables -A INPUT -i eth1 -s 
192.168.0.0/16
 -j DROP
iptables -A INPUT -i eth1 -s 
224.0.0.0/4
 -j DROP
iptables -A INPUT -i eth1 -s 
240.0.0.0/5
 -j DROP
iptables -A INPUT -i eth1 -d 
127.0.0.1/8
 -j DROP
iptables -A INPUT -i eth1 -d xxx.xxx.xxx.255 -j DROP
#
#Port scanner sospetti
iptables -A FORWARD -i eth1 -p tcp --tcp-flags SYN,ACK,FIN,RST RST -j DROP
#
#Ping della morte (Ping of death):
iptables -A FORWARD -p icmp --icmp-type echo-request -j DROP
#
#manda indietro attacchi di s'kiddies ;->
iptables -A INPUT -i eth1 -p udp -m multiport --dport 31337,27374 -j MIRROR
iptables -A INPUT -i eth1 -p tcp -m multiport --dport
27374,1243,12345,20034 -j MIRROR
#
#porte x file sharing, dcc &c.
iptables -A INPUT -i eth1 -p tcp -m multiport --dport
6697,6698,6699,6346,4661,4662 -j ACCEPT #winmx
iptables -A INPUT -i eth1 -p udp --dport 4665 -j ACCEPT #edonkey
iptables -A INPUT -i eth1 -p tcp --sport 6346 --dport 1023:65535 -j ACCEPT
#
#effettuo il mascheramento
iptables -t nat -A POSTROUTING -s 
192.168.0.0/24
 -j MASQUERADE
#
#FINE DEL FIREWALL
--
LukeNukem

>>:/OuZ\:<<<
per rispondermi in mail rimuovere TOGLIQUESTO

 non ricordo neanche cosa hai chiesto di preciso -_^
Sei stato di grande aiuto, grazie 1000....ricambierò in qualche modo???
--
LukeNukem