File "rc.firewall-webhost.sh"
Full path: /www/wwwroot/fabriciovc.eti.br/downloads/scripts/iproute/rc.firewall-webhost.sh
File size: 5.98 KiB (6124 bytes)
MIME-type: text/x-shellscript
Charset: utf-8
#!/bin/sh
#==============================================================================
# Copyright (C) 2009 - Fabricio Vaccari Constanski #
# http://www.fabriciovc.eti.br | fabriciovc@fabriciovc.eti.br #
# #
# Este trabalho esta licenciado sob uma Licenca Creative Commons #
# Atribuicao-Compartilhamento pela mesma Licenca 2.5 Brasil. Para ver a copia #
# desta licenca, acesse: http://creativecommons.org/licenses/by-sa/2.5/br/ #
# ou envie uma carta para Creative Commons, 171 Second Street, Suite 300, #
# San Francisco, California 94105, USA. #
# #
# Ultima Atualizacao: 18/09/2009 - Fabricio Vaccari Constanski #
#==============================================================================
#------------------------------------------------------------------------------
# Comando iptables
IPTABLES=`which iptables`
# Comando modprobe
MODPROBE=`which modprobe`
# /proc/sys/net/ipv4
PSNI=/proc/sys/net/ipv4
#---------------------------------------------------------------------------------
# Habilita repasse de pacotes
echo 1 > $PSNI/ip_forward
# Habilitar protecao contra synflood
echo 1 > $PSNI/tcp_syncookies
# Habilitar verificacao de rota de origem (Protecao p/ IP Spoofing)
for RP in $PSNI/conf/*/rp_filter ; do echo 1 > $RP ; done
# Controle de ICMP
echo 0 > $PSNI/icmp_echo_ignore_all
echo 1 > $PSNI/icmp_echo_ignore_broadcasts
#---------------------------------------------------------------------------------
# Carregando módulos
$MODPROBE ip_conntrack
$MODPROBE ip_conntrack_ftp
$MODPROBE ip_nat_ftp
#---------------------------------------------------------------------------------
# Limpando regras e cadeias anteriores
$IPTABLES -t filter -F
$IPTABLES -t nat -F
$IPTABLES -t mangle -F
$IPTABLES -t filter -X
$IPTABLES -t nat -X
$IPTABLES -t mangle -X
#---------------------------------------------------------------------------------
# Definindo politica padrao ACCEPT
$IPTABLES -P INPUT ACCEPT
$IPTABLES -P FORWARD ACCEPT
$IPTABLES -P OUTPUT ACCEPT
#---------------------------------------------------------------------------------
# Liberar SSH
$IPTABLES -A INPUT -p tcp -m tcp --dport 22022 -j ACCEPT
#---------------------------------------------------------------------------------
case $1 in
start)
#-----------------------------------------------------------------------------
# Definindo politica padrao DROP
$IPTABLES -P INPUT DROP
$IPTABLES -P FORWARD DROP
$IPTABLES -P OUTPUT ACCEPT
#-----------------------------------------------------------------------------
# Liberar loopback
$IPTABLES -A INPUT -s 127.0.0.1/32 -j ACCEPT
#-----------------------------------------------------------------------------
# Liberar retorno de conexoes
$IPTABLES -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
#-----------------------------------------------------------------------------
# Liberar FTP
$IPTABLES -A INPUT -p tcp -m tcp --dport 21 -j ACCEPT
#-----------------------------------------------------------------------------
# Liberar SMTP
$IPTABLES -A INPUT -p tcp -m tcp --dport 25 -j ACCEPT
#-----------------------------------------------------------------------------
# Liberar DNS
$IPTABLES -A INPUT -p tcp -m tcp --dport 53 -j ACCEPT
$IPTABLES -A INPUT -p udp -m udp --dport 53 -j ACCEPT
$IPTABLES -A INPUT -p tcp -m tcp --sport 53 -j ACCEPT
$IPTABLES -A INPUT -p udp -m udp --sport 53 -j ACCEPT
#-----------------------------------------------------------------------------
# Liberar HTTP
$IPTABLES -A INPUT -p tcp -m tcp --dport 80 -j ACCEPT
#-----------------------------------------------------------------------------
# Liberar POP
$IPTABLES -A INPUT -p tcp -m tcp --dport 110 -j ACCEPT
#-----------------------------------------------------------------------------
# Liberar ntpdate (NTP)
$IPTABLES -A INPUT -p udp -m udp --sport 123 -j ACCEPT
#-----------------------------------------------------------------------------
# Liberar IMAP
$IPTABLES -A INPUT -p tcp -m tcp --dport 143 -j ACCEPT
#-----------------------------------------------------------------------------
# Liberar SNMP
$IPTABLES -A INPUT -p udp -m udp --dport 161 -j ACCEPT
#-----------------------------------------------------------------------------
# Liberar IMAPS
#$IPTABLES -A INPUT -p tcp -m tcp --dport 993 -j ACCEPT
#-----------------------------------------------------------------------------
# Liberar POPS
#$IPTABLES -A INPUT -p tcp -m tcp --dport 995 -j ACCEPT
#-----------------------------------------------------------------------------
# Liberar MySQL
#$IPTABLES -A INPUT -p tcp -m tcp --dport 3306 -j ACCEPT
#-----------------------------------------------------------------------------
# Liberar ping (ICMP)
$IPTABLES -A INPUT -p icmp --icmp-type 0 -m limit --limit 1/s -j ACCEPT
$IPTABLES -A INPUT -p icmp --icmp-type 3 -m limit --limit 1/s -j ACCEPT
$IPTABLES -A INPUT -p icmp --icmp-type 5 -m limit --limit 1/s -j ACCEPT
$IPTABLES -A INPUT -p icmp --icmp-type 8 -m limit --limit 1/s -j ACCEPT
$IPTABLES -A INPUT -p icmp --icmp-type 11 -m limit --limit 1/s -j ACCEPT
$IPTABLES -A INPUT -p icmp --icmp-type 12 -m limit --limit 1/s -j ACCEPT
#-----------------------------------------------------------------------------
# Negar Ident
$IPTABLES -A INPUT -p tcp -m tcp --dport 113 -j REJECT --reject-with tcp-reset
#-----------------------------------------------------------------------------
# Reset em conexoes para portas desconhecidas
$IPTABLES -A INPUT -p tcp -j REJECT --reject-with tcp-reset
#-----------------------------------------------------------------------------
;;
stop)
exit 0
;;
*)
echo "Use: ./rc.firewall {start|stop}"
;;
esac