script iptables, vous en pensez quoi ?

script iptables, vous en pensez quoi ? - Codes et scripts - Linux et OS Alternatifs

Marsh Posté le 07-04-2003 à 10:02:57    

Voila, j'ai fais un script iptables, ca fonctionne bien mais je sais pas si c'est super optimisé. Qu'en pensez-vous ??
 

Code :
  1. #Vidage de regles existantes
  2. iptables -F
  3. iptables -X -t nat
  4. #Interdiction de tout le traffic en local/externe sur toutes interfaces
  5. iptables -P INPUT DROP
  6. iptables -P OUTPUT DROP
  7. iptables -P FORWARD DROP
  8. #Autorisation de tout le traffic local sur toutes interfaces
  9. iptables -A INPUT -i eth0 -j ACCEPT
  10. iptables -A INPUT -i lo -j ACCEPT
  11. iptables -A OUTPUT -o eth0 -j ACCEPT
  12. iptables -A OUTPUT -o lo -j ACCEPT
  13. #-------------------------#
  14. #Autorisation serveur HTTP#
  15. #-------------------------#
  16. iptables -A INPUT -p tcp -i ppp0 --sport 1024:65335 --dport 80 -j ACCEPT
  17. iptables -A OUTPUT -p tcp -o ppp0 --dport 1024:65535 --sport 80 -j ACCEPT
  18. #--------------------------#
  19. #Autorisation serveur HTTPS#
  20. #--------------------------#
  21. iptables -A INPUT -p tcp -i ppp0 --sport 1024:65335 --dport 443 -j ACCEPT
  22. iptables -A OUTPUT -p tcp -o ppp0 --dport 1024:65535 --sport 443 -j ACCEPT
  23. #------------------------#
  24. #Autorisation serveur FTP#
  25. #------------------------#
  26. iptables -A INPUT -p tcp -i ppp0 --sport 1024:65335 --dport 21 -j ACCEPT
  27. iptables -A OUTPUT -p tcp -o ppp0 --dport 1024:65535 --sport 21 -j ACCEPT
  28. #Autorisation requetes DNS
  29. #-------------------------
  30. #Serveur
  31. iptables -A INPUT -p udp -i ppp0 --sport 53 -j ACCEPT
  32. iptables -A OUTPUT -p udp -o ppp0 --dport 53 -j ACCEPT
  33. #LAN
  34. iptables -A FORWARD -p udp -i ppp0 --sport 53 -j ACCEPT
  35. iptables -A FORWARD -p udp -o ppp0 --dport 53 -j ACCEPT
  36. #Autorisation du surf
  37. #--------------------
  38. #Serveur
  39. iptables -A INPUT -p tcp -i ppp0 --sport 80 --dport 1024:65535 -j ACCEPT
  40. iptables -A OUTPUT -p tcp -o ppp0 --dport 80 --sport 1024:65535 -j ACCEPT
  41. #LAN
  42. iptables -A FORWARD -p tcp -i ppp0 --sport 80 --dport 1024:65535 -j ACCEPT
  43. iptables -A FORWARD -p tcp -o ppp0 --dport 80 --sport 1024:65535 -j ACCEPT
  44. iptables -A FORWARD -p tcp -i ppp0 --sport 443 --dport 1024:65535 -j ACCEPT
  45. iptables -A FORWARD -p tcp -o ppp0 --dport 443 --sport 1024:65535 -j ACCEPT
  46. #Autorisation FTP
  47. #----------------
  48. #Serveur
  49. iptables -A INPUT -p tcp -i ppp0 --sport 21 --dport 1024:65535 -j ACCEPT
  50. iptables -A OUTPUT -p tcp -o ppp0 --dport 21 --sport 1024:65535 -j ACCEPT
  51. iptables -A INPUT -p tcp -i ppp0 --sport 20 --dport 1024:65535 -j ACCEPT
  52. iptables -A OUTPUT -p tcp -o ppp0 --dport 20 --sport 1024:65535 -j ACCEPT
  53. #LAN
  54. iptables -A FORWARD -p tcp -i ppp0 --sport 21 --dport 1024:65535 -j ACCEPT
  55. iptables -A FORWARD -p tcp -o ppp0 --dport 21 --sport 1024:65535 -j ACCEPT
  56. iptables -A FORWARD -p tcp -i ppp0 --sport 20 --dport 1024:65535 -j ACCEPT
  57. iptables -A FORWARD -p tcp -o ppp0 --dport 20 --sport 1024:65535 -j ACCEPT
  58. #Autorisation mIRC
  59. #-----------------
  60. #Only LAN
  61. iptables -t nat -A PREROUTING -j DNAT -i ppp0 -p tcp --dport 113 --to-destination 192.168.1.4:113
  62. iptables -A FORWARD -p tcp -i ppp0 --dport 113 -j ACCEPT
  63. iptables -A FORWARD -p tcp -o ppp0 --sport 113 -j ACCEPT
  64. iptables -A FORWARD -p tcp -i ppp0 --sport 6667:6669 --dport 1024:65535 -j ACCEPT
  65. iptables -A FORWARD -p tcp -o ppp0 --dport 6667:6669 --sport 1024:65535 -j ACCEPT
  66. #Autorisation POP et SMTP
  67. #------------------------
  68. #Serveur
  69. iptables -A OUTPUT -p tcp -o ppp0 --dport 25 --sport 1024:65535 -j ACCEPT
  70. iptables -A INPUT -p tcp -i ppp0 --sport 25 --dport 1024:65535 -j ACCEPT
  71. #LAN
  72. iptables -A FORWARD -p tcp -i ppp0 --sport 110 --dport 1024:65535 -j ACCEPT
  73. iptables -A FORWARD -p tcp -o ppp0 --dport 110 --sport 1024:65535 -j ACCEPT
  74. iptables -A FORWARD -p tcp -i ppp0 --sport 25 --dport 1024:65535 -j ACCEPT
  75. iptables -A FORWARD -p tcp -o ppp0 --dport 25 --sport 1024:65535 -j ACCEPT
  76. #Autorisation All Seeing Eye
  77. #---------------------------
  78. #LAN
  79. iptables -A FORWARD -p tcp -i ppp0 --sport 27243:27245 --dport 1024:65535 -j ACCEPT
  80. iptables -A FORWARD -p tcp -o ppp0 --dport 27243:27245 --sport 1024:65535 -j ACCEPT
  81. iptables -A FORWARD -p udp -o ppp0 --dport 27243:27245 --sport 1024:65535 -j ACCEPT
  82. iptables -A FORWARD -p udp -i ppp0 --sport 27243:27245 --dport 1024:65535 -j ACCEPT
  83. #serveurs AUTH WON
  84. iptables -A FORWARD -p tcp -i ppp0 --sport 6003 --dport 1024:65535 -j ACCEPT
  85. iptables -A FORWARD -p tcp -o ppp0 --dport 6003 --sport 1024:65535 -j ACCEPT
  86. iptables -A FORWARD -p tcp -i ppp0 --sport 7002 --dport 1024:65535 -j ACCEPT
  87. iptables -A FORWARD -p tcp -o ppp0 --dport 7002 --sport 1024:65535 -j ACCEPT
  88. iptables -A FORWARD -p tcp -i ppp0 --sport 27010:27012 --dport 1024:65535 -j ACCEPT
  89. iptables -A FORWARD -p tcp -o ppp0 --dport 27010:27012 --sport 1024:65535 -j ACCEPT
  90. #serveurs CS
  91. iptables -A FORWARD -p udp -o ppp0 --dport 27015:27030 --sport 1024:65535 -j ACCEPT
  92. iptables -A FORWARD -p udp -i ppp0 --sport 27015:27030 --dport 1024:65535 -j ACCEPT
  93. echo 1 > /proc/sys/net/ipv4/tcp_syncookies
  94. echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_broadcasts
  95. echo 1 > /proc/sys/net/ipv4/icmp_ignore_bogus_error_responses
  96. #Partage de connexion
  97. echo 1 > /proc/sys/net/ipv4/ip_forward
  98. iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -o ppp0 -j MASQUERADE


 
Merci :hello:

Reply

Marsh Posté le 07-04-2003 à 10:02:57   

Reply

Marsh Posté le 07-04-2003 à 10:35:31    

Tu mets tes commandes en double pour autoriser les connexions dans les 2 sens (la connexion, et le retour de connexion): ne vaut-il pas mieux laisser les règles entrantes, et remplacer toutes les règles sortantes par cette unique règle ?
 

# Toutes les connexions établies et relatives sont acceptées
iptables -A SuiviConnexions -m state --state ESTABLISHED,RELATED -j ACCEPT


 
Dans tes plages de ports autorisés, tu spécifies toujours le port de fin (65535), il n'est pas obligatoire, par exemple:
 

iptables -A INPUT -p tcp -i ppp0 --sport 1024: --dport 80 -j ACCEPT


 
Enfin, All seeing eyes a-t-il réellement besoin à la fois de tcp et udp ? Il me semble que la plupart des programmes utilisent soit l'un, soit l'autre ...


Message édité par [Albator] le 07-04-2003 à 10:36:19
Reply

Marsh Posté le 07-04-2003 à 10:49:17    

Ok merci :)
Pour l'autorisation dans les deux sens, c'est pour que ce soit bien clair dans ma tete :D
Sinon pour all seing eye, la faq indique que tcp et udp sont necessaires, mais je vais tester quand meme ;)
 

Reply

Marsh Posté le 17-04-2003 à 23:48:26    

Un chti : iptables -L -v
Serait pratique pour voir tes regles en un clin d'oeil
Sinon , plusieurs remarques :  
 
Le filtrage sur le port source, perso je ne trouve pas ca utile il est tres facile de bypassé ca !
 
Pour le dns laisse aussi passer le tcp sur le port 53, le dns s'en sert de temps en temps ...
 
Ca serait pas mal ossi de rajouté a la fin, des regles pour le logs !
 
Vala, je crois que tu a du boulot ;)
A+

Reply

Sujets relatifs:

Leave a Replay

Make sure you enter the(*)required information where indicate.HTML code is not allowed