Platon Technologies
not logged in Login Registration
EnglishSlovak
open source software development celebrating 10 years of open source development! Thursday, March 28, 2024

Diff for scripts/shell/firewall/fw-universal.sh between version 2.14 and 2.0

version 2.14, 2005/01/16 11:06:46 version 2.0, 2004/11/14 15:23:09
Line 5 
Line 5 
 # Can be started by init or by hand.  # Can be started by init or by hand.
 #  #
 # Developed by Lubomir Host 'rajo' <rajo AT platon.sk>  # Developed by Lubomir Host 'rajo' <rajo AT platon.sk>
 # Copyright (c) 2003-2005 Platon SDG, http://platon.sk/  # Copyright (c) 2003-2004 Platon SDG, http://platon.sk/
 # Licensed under terms of GNU General Public License.  # Licensed under terms of GNU General Public License.
 # All rights reserved.  # All rights reserved.
 #  #
 # $Platon: scripts/shell/firewall/fw-universal.sh,v 2.13 2005/01/16 11:06:10 rajo Exp $  # $Platon: scripts/shell/firewall/fw-universal.sh,v 1.1 2003/10/24 15:40:44 rajo Exp $
 #  #
 # Changelog:  # Changelog:
 # 2003-10-24 - created  # 2004-11-14 - created
 #  #
   
 DESC="firewall"  DESC="firewall"
Line 33  DEFAULT_POLICY="${DEFAULT_POLICY:=DROP}"
Line 33  DEFAULT_POLICY="${DEFAULT_POLICY:=DROP}"
 # which modules to load  # which modules to load
 MODULES="${MODULES:=}"  MODULES="${MODULES:=}"
   
 LOG_LIMIT="${LOG_LIMIT:=-m limit --limit 12/h --limit-burst 10 -j LOG --log-level notice --log-prefix}"  LOG_LIMIT="${LOG_LIMIT:=-m limit --limit 12/h --limit-burst 10}"
   
 # Paths:  # Paths:
 #IPTABLES=":" # for testing only - does nothing  #IPTABLES=":" # for testing only - does nothing
 IPTABLES="${IPTABLES:=$DEBUG/sbin/iptables}"  IPTABLES="${IPTABLES:=/sbin/iptables}"
 IFCONFIG="${IFCONFIG:=/sbin/ifconfig}"  IFCONFIG="${IFCONFIG:=/sbin/ifconfig}"
 DEPMOD="${DEPMOD:=/sbin/depmod}"  DEPMOD="${DEPMOD:=/sbin/depmod}"
 MODPROBE="${MODPROBE:=/sbin/modprobe}"  MODPROBE="${MODPROBE:=/sbin/modprobe}"
Line 48  AWK="${AWK:=/usr/bin/awk}"
Line 48  AWK="${AWK:=/usr/bin/awk}"
 LO_IFACE="${LO_IFACE:=lo}"  LO_IFACE="${LO_IFACE:=lo}"
 LO_IP="IP_$LO_IFACE"  LO_IP="IP_$LO_IFACE"
   
   # Which ports will be allowed on INPUT (TCP connections)
   ALL_ACCEPT_INPUT_TCP="${ALL_ACCEPT_INPUT_TCP:=}"
   # interface eth0
   eth0_ACCEPT_INPUT_TCP="${eth0_ACCEPT_INPUT_TCP:=}"
   # interface ppp0
   ppp0_ACCEPT_INPUT_TCP="${ppp0_ACCEPT_INPUT_TCP:=}"
   
   # Which ports will be allowed on INPUT (UDP connections)
   # interface eth0
   eth0_ACCEPT_INPUT_UDP="${eth0_ACCEPT_INPUT_UDP:=}"
   # interface ppp0
   ppp0_ACCEPT_INPUT_UDP="${ppp0_ACCEPT_INPUT_UDP:=}"
   
 # allow some ICMP packets - needed for ping etc.  # allow some ICMP packets - needed for ping etc.
 ACCEPT_ICMP_PACKETS="${ACCEPT_ICMP_PACKETS:=echo-reply destination-unreachable echo-request time-exceeded}"  ACCEPT_ICMP_PACKETS="${ACCEPT_ICMP_PACKETS:=echo-reply destination-unreachable echo-request time-exceeded}"
   
Line 103  antispoof_on()
Line 116  antispoof_on()
 # clear status of iptable chains  # clear status of iptable chains
 remove_chains()  remove_chains()
 { # {{{  { # {{{
           $IPTABLES -F # clear all chains
         for table in filter nat mangle; do          $IPTABLES -X # remove all chains
                 $IPTABLES -t $table -F # clear all chains  
                 $IPTABLES -t $table -X # remove all chains  
         done  
   
 } # }}}  } # }}}
   
 # all packets on loopback are accpted  # all packets on loopback are accpted
Line 126  nmap_scan_filter()
Line 135  nmap_scan_filter()
   
         for chain in INPUT FORWARD; do          for chain in INPUT FORWARD; do
                 #  Nie je nastaveny ziaden bit                  #  Nie je nastaveny ziaden bit
                 $IPTABLES -A $chain   -p TCP --tcp-flags ALL NONE  $LOG_LIMIT "nmap scan $chain ALL NONE: "                  $IPTABLES -A $chain   -p TCP --tcp-flags ALL NONE  $LOG_LIMIT -j LOG --log-prefix "nmap scan $chain ALL NONE: "
                 echo -en "."                  echo -en "."
                 $IPTABLES -A $chain   -p TCP --tcp-flags ALL NONE -j DROP                  $IPTABLES -A $chain   -p TCP --tcp-flags ALL NONE -j DROP
                 echo -en "."                  echo -en "."
   
                 # dva odporujuuce si flagy su nastavene:                  # dva odporujuuce si flagy su nastavene:
                 for flags in   SYN,FIN   SYN,RST   FIN,RST   ; do                  for flags in   SYN,FIN   SYN,RST   FIN,RST   ; do
                         $IPTABLES -A $chain   -p TCP --tcp-flags $flags $flags $LOG_LIMIT "nmap scan $chain $flags: "                          $IPTABLES -A $chain   -p TCP --tcp-flags $flags $flags $LOG_LIMIT -j LOG --log-prefix "nmap scan $chain $flags: "
                         echo -en "."                          echo -en "."
                         $IPTABLES -A $chain   -p TCP --tcp-flags $flags $flags -j DROP                          $IPTABLES -A $chain   -p TCP --tcp-flags $flags $flags -j DROP
                         echo -en "."                          echo -en "."
Line 141  nmap_scan_filter()
Line 150  nmap_scan_filter()
   
                 # je nastavene len $flags bez predpokladaneho ACK                  # je nastavene len $flags bez predpokladaneho ACK
                 for flags in   FIN   PSH   URG   ; do                  for flags in   FIN   PSH   URG   ; do
                         $IPTABLES -A $chain   -p TCP --tcp-flags ACK,$flags $flags $LOG_LIMIT "nmap scan $chain ACK,$flags: "                          $IPTABLES -A $chain   -p TCP --tcp-flags ACK,$flags $flags $LOG_LIMIT -j LOG --log-prefix "nmap scan $chain ACK,$flags: "
                         echo -en "."                          echo -en "."
                         $IPTABLES -A $chain   -p TCP --tcp-flags ACK,$flags $flags -j DROP                          $IPTABLES -A $chain   -p TCP --tcp-flags ACK,$flags $flags -j DROP
                         echo -en "."                          echo -en "."
Line 158  invalid_packet_filter()
Line 167  invalid_packet_filter()
   
         echo -en "Turning on INVALID packet filter "          echo -en "Turning on INVALID packet filter "
         for chain in INPUT OUTPUT FORWARD; do          for chain in INPUT OUTPUT FORWARD; do
                 $IPTABLES -A $chain -m state --state INVALID $LOG_LIMIT "INVALID $chain: "                  $IPTABLES -A $chain -m state --state INVALID $LOG_LIMIT  -j LOG --log-prefix "INVALID $chain: "
                 echo -en "."                  echo -en "."
                 $IPTABLES -A $chain -m state --state INVALID -j DROP                  $IPTABLES -A $chain -m state --state INVALID -j DROP
                 echo -en "."                  echo -en "."
Line 187  syn_flood()
Line 196  syn_flood()
 anti_spoof_filter()  anti_spoof_filter()
 { # {{{  { # {{{
   
         #   http://www.iana.com/assignments/ipv4-address-space  #   http://www.iana.com/assignments/ipv4-address-space
   
         if [ ! -z "$ANTISPOOF_IFACE" ]; then          INET_IFACE=$1
   
                 echo -en "Turning on antispoof filter for interfaces: "          $IPTABLES -N spoof
                 $IPTABLES -N spoof  
   
                 # Ochrana proti Spoogingu zo spatnej slucky          echo "Turning on antispoof filter for interface $INET_IFACE "
                 $IPTABLES -A spoof -s 127.0.0.0/8 $LOG_LIMIT "RESERVED:127.0.0.0/8 src"          # Ochrana proti Spoogingu zo spatnej slucky
                 $IPTABLES -A spoof -s 127.0.0.0/8 -j DROP          $IPTABLES -A spoof -i $INET_IFACE -s 127.0.0.0/8 $LOG_LIMIT -j LOG --log-prefix "Reserved IP:127.0.0.0/8 src"
                 $IPTABLES -A spoof -d 127.0.0.0/8 $LOG_LIMIT "RESERVED:127.0.0.0/8 dest"          $IPTABLES -A spoof -i $INET_IFACE -s 127.0.0.0/8 -j DROP
                 $IPTABLES -A spoof -d 127.0.0.0/8 -j DROP          $IPTABLES -A spoof -i $INET_IFACE -d 127.0.0.0/8 $LOG_LIMIT -j LOG --log-prefix "Reserved IP:127.0.0.0/8 dest"
                 # Ochrana proti Spoofingu Internetu z adries urcenych pre lokalne siete          $IPTABLES -A spoof -i $INET_IFACE -d 127.0.0.0/8 -j DROP
                 $IPTABLES -A spoof -s 192.168.0.0/16 $LOG_LIMIT "RESERVED:192.168.0.0/16 src"          # Ochrana proti Spoofingu Internetu z adries urcenych pre lokalne siete
                 $IPTABLES -A spoof -s 192.168.0.0/16 -j DROP            # RFC1918          $IPTABLES -A spoof -i $INET_IFACE -s 192.168.0.0/16 $LOG_LIMIT -j LOG --log-prefix "Reserved IP:192.168.0.0/16 src"
                 $IPTABLES -A spoof -s 172.16.0.0/12 $LOG_LIMIT "RESERVED:172.16.0.0/12 src"          $IPTABLES -A spoof -i $INET_IFACE -s 192.168.0.0/16 -j DROP             # RFC1918
                 $IPTABLES -A spoof -s 172.16.0.0/12 -j DROP             # RFC1918          $IPTABLES -A spoof -i $INET_IFACE -s 172.16.0.0/12 $LOG_LIMIT -j LOG --log-prefix "Reserved IP:172.16.0.0/12 src"
                 $IPTABLES -A spoof -s 10.0.0.0/8  $LOG_LIMIT "RESERVED:10.0.0.0/8 src"          $IPTABLES -A spoof -i $INET_IFACE -s 172.16.0.0/12 -j DROP              # RFC1918
                 $IPTABLES -A spoof -s 10.0.0.0/8 -j DROP  # RFC1918 len pre sietovy interface do Internetu, kedze 10.0.0.0 je adresa LAN          $IPTABLES -A spoof -i $INET_IFACE -s 10.0.0.0/8  $LOG_LIMIT -j LOG --log-prefix "Reserved IP:10.0.0.0/8 src"
                 $IPTABLES -A spoof -s 96.0.0.0/4 $LOG_LIMIT "RESERVED:96.0.0.0/4 src"          $IPTABLES -A spoof -i $INET_IFACE -s 10.0.0.0/8 -j DROP  # RFC1918 len pre sietovy interface do Internetu, kedze 10.0.0.0 je adresa LAN
                 $IPTABLES -A spoof -s 96.0.0.0/4 -j DROP                        # IANA          $IPTABLES -A spoof -i $INET_IFACE -s 96.0.0.0/4 $LOG_LIMIT -j LOG --log-prefix "Reserved IP:96.0.0.0/4 src"
           $IPTABLES -A spoof -i $INET_IFACE -s 96.0.0.0/4 -j DROP                         # IANA
                 for iface in $ANTISPOOF_IFACE; do          echo " done."
                         echo -en " $iface"  
                         $IPTABLES -A FORWARD -i $iface -j spoof  
                         $IPTABLES -A INPUT   -i $iface -j spoof  
                 done  
                 echo " done."  
         fi  
 } # }}}  } # }}}
   
 mangle_prerouting()  mangle_prerouting()
Line 259  mangle_output()
Line 261  mangle_output()
   
 } # }}}  } # }}}
   
 # Masquerade local subnet  
 masquerade()  
 { # {{{  
         if [ ! -z "$NAT_LAN_IFACE" ]; then  
                 echo -en "NAT: Masquerading local subnet: $NAT_SUBNET_IFACE --> $NAT_LAN_IFACE"  
   
                 ip="IP_$NAT_SUBNET_IFACE";  
                 netmask="Mask_$NAT_SUBNET_IFACE"  
                 localnet="${!ip}/${!netmask}"  
   
                 lan_ip="IP_$NAT_LAN_IFACE"  
   
                 # alow packets from private subnet  
                 $IPTABLES -A FORWARD -s ! $localnet -i $NAT_SUBNET_IFACE -j DROP  
   
                 for redirect in $NAT_TCP_PORT_REDIRECT; do  
                         eval `echo $redirect | awk -v FS=: '{ printf "remote_port=%s; local_port=%s;", $1, $2; }'`  
                         echo -en " $remote_port:$local_port"  
                         $IPTABLES -t nat -A PREROUTING -p TCP \  
                                 -i ! $NAT_LAN_IFACE -d ! ${!lan_ip} \  
                                 --dport $remote_port -j REDIRECT --to-port $local_port  
                 done  
   
                 #$IPTABLES -t nat -A POSTROUTING -s $localnet -o $NAT_LAN_IFACE -j MASQUERADE  
                 $IPTABLES -t nat -A POSTROUTING -o $NAT_LAN_IFACE -j MASQUERADE  
   
                 echo " done."  
   
                 # don't forward Miscrosoft protocols - NOT RFC compliant packets  
                 if [ ! -z "$NAT_FORWARD_MICROSOFT" ]; then  
                         if [ "x$NAT_FORWARD_MICROSOFT" = "xno" ]; then  
                                 $IPTABLES -A FORWARD -p TCP ! --syn -m state --state NEW -j DROP  
   
                                 for port in 69 135 445 1434 6667; do  
                                         $IPTABLES -A FORWARD -p TCP --dport $port -j DROP  
                                         $IPTABLES -A FORWARD -p UDP --dport $port -j DROP  
                                 done  
                         fi  
                 fi  
   
                 if [ ! -z "$NAT_FORWARD_TCP_PORTS" ]; then  
                         echo -en "\tAccepting FORWARD TCP ports:"  
                         for port in $NAT_FORWARD_TCP_PORTS; do  
                                 echo -en " $port"  
                                 $IPTABLES -A FORWARD -p TCP --dport $port -m state --state NEW -j ACCEPT  
                         done  
                         echo " done."  
                 fi  
   
                 if [ ! -z "$NAT_FORWARD_UDP_PORTS" ]; then  
                         echo -en "\tAccepting FORWARD UDP ports:"  
                         for port in $NAT_FORWARD_UDP_PORTS; do  
                                 echo -en " $port"  
                                 $IPTABLES -A FORWARD -p UDP --dport $port -m state --state NEW -j ACCEPT  
                         done  
                         echo " done."  
                 fi  
   
                 echo -en "\tAccepting ICMP packets:"  
                 for type in $ACCEPT_ICMP_PACKETS; do  
                         echo -en " $type"  
                         $IPTABLES -A FORWARD -p ICMP --icmp-type $type -j ACCEPT  
                 done  
                 #$IPTABLES -A FORWARD -p ICMP -j LOG --log-prefix "FWD ICMP: "  
                 echo " done."  
   
                 # Keep state of connections from private subnets  
                 $IPTABLES -A OUTPUT  -m state --state NEW -o $NAT_LAN_IFACE -j ACCEPT  
                 #$IPTABLES -A FORWARD -m state --state NEW -o $NAT_LAN_IFACE -j ACCEPT  
                 $IPTABLES -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT  
   
         fi  
 } # }}}  
   
 log_new_connections()  
 { # {{{  
         if [ ! -z "$NAT_LOG_NEW_CONNECTIONS" ]; then  
                 if [ "x$NAT_LOG_NEW_CONNECTIONS" = "xyes" ]; then  
                         echo -en "Logging new connections:"  
                         $IPTABLES -A INPUT   -m state --state NEW -j LOG --log-prefix "IN  connection: "  
                         $IPTABLES -A OUTPUT  -m state --state NEW -j LOG --log-prefix "OUT connection: "  
                         $IPTABLES -A FORWARD -m state --state NEW -j LOG --log-prefix "FWD connection: "  
                         echo " done."  
                 fi  
         fi  
 } # }}}  
   
 drop_output()  
 { # {{{  
   
         for iface in $INTERFACES; do  
                 ip="IP_$iface";  
                 drop_output_tcp="${iface}_DROP_OUTPUT_TCP"  
                 DROP_OUTPUT_TCP="${!drop_output_tcp}"  
                 drop_output_udp="${iface}_DROP_OUTPUT_UDP"  
                 DROP_OUTPUT_UDP="${!drop_output_udp}"  
   
                 if [ ! -z "$DROP_OUTPUT_TCP" ]; then  
                         echo -en "$iface: Dropping outgoing packets from ports:"  
                         for port in $DROP_OUTPUT_TCP; do  
                                 echo -en " $port"  
                                 $IPTABLES -A FORWARD -p TCP --sport $port -o $iface -j DROP  
                                 $IPTABLES -A OUTPUT  -p TCP --sport $port -o $iface -j DROP  
                         done  
                         echo " done."  
                 fi  
   
                 if [ ! -z "$DROP_OUTPUT_UDP" ]; then  
                         echo -en "$iface: Dropping outgoing packets from ports:"  
                         for port in $DROP_OUTPUT_UDP; do  
                                 echo -en " $port"  
                                 $IPTABLES -A FORWARD -p UDP --sport $port -o $iface -j DROP  
                                 $IPTABLES -A OUTPUT  -p UDP --sport $port -o $iface -j DROP  
                         done  
                         echo " done."  
                 fi  
         done  
   
 } # }}}  
   
 allow_input()  allow_input()
 { # {{{  { # {{{
   
         if [ ! -z "$IFACE_ACCEPT_ALL" ]; then  
                 echo -en "Accepting ALL packets on interfaces:"  
                 for iface in $IFACE_ACCEPT_ALL; do  
                         echo -en " $iface"  
                         $IPTABLES -A INPUT   -i $iface -j ACCEPT  
                         $IPTABLES -A FORWARD -i $iface -j ACCEPT  
                         $IPTABLES -A OUTPUT  -o $iface -j ACCEPT  
                 done  
                 echo " done."  
         fi  
   
         if [ ! -z "$ALL_ACCEPT_INPUT_TCP" ]; then          if [ ! -z "$ALL_ACCEPT_INPUT_TCP" ]; then
                 echo -en "Accepting ALL INPUT TCP connections on ports:"                  echo -en "Accepting ALL INPUT TCP connections on ports:"
                 for port in $ALL_ACCEPT_INPUT_TCP; do                  for port in $ALL_ACCEPT_INPUT_TCP; do
Line 404  allow_input()
Line 274  allow_input()
                 done                  done
                 echo " done."                  echo " done."
         fi          fi
         if [ ! -z "$ALL_ACCEPT_INPUT_UDP" ]; then  
                 echo -en "Accepting ALL INPUT UDP connections on ports:"  
                 for port in $ALL_ACCEPT_INPUT_UDP; do  
                         for iface in $INTERFACES; do  
                                 ip="IP_$iface";  
                                 echo -en " $port($iface)"  
                                 $IPTABLES -A INPUT -i $iface -p UDP --dport $port -j ACCEPT  
                         done  
                 done  
                 echo " done."  
         fi  
   
         for iface in $INTERFACES; do          for iface in $INTERFACES; do
                 ip="IP_$iface";                  ip="IP_$iface";
Line 424  allow_input()
Line 283  allow_input()
                 ACCEPT_INPUT_UDP="${!accept_input_udp}"                  ACCEPT_INPUT_UDP="${!accept_input_udp}"
   
                 if [ ! -z "$ACCEPT_INPUT_TCP" ]; then                  if [ ! -z "$ACCEPT_INPUT_TCP" ]; then
                         echo -en "$iface: Accepting INPUT TCP connections on ports:"                          echo -en "$iface: Accepting INPUT TCP connections on ports: "
                         for port in $ACCEPT_INPUT_TCP; do                          for port in $ACCEPT_INPUT_TCP; do
                                 echo -en " $port"                                  echo -en " $port"
                                 $IPTABLES -A INPUT -i $iface -d ${!ip} -p TCP --dport $port -j ACCEPT                                  $IPTABLES -A INPUT -i $iface -d ${!ip} -p TCP --dport $port -j ACCEPT
Line 433  allow_input()
Line 292  allow_input()
                 fi                  fi
   
                 if [ ! -z "$ACCEPT_INPUT_UDP" ]; then                  if [ ! -z "$ACCEPT_INPUT_UDP" ]; then
                         echo -en "$iface: Accepting INPUT UDP connections on ports:"                          echo -en "$iface: Accepting INPUT UDP connections on ports: "
                         for port in $ACCEPT_INPUT_UDP; do                          for port in $ACCEPT_INPUT_UDP; do
                                 echo -en " $port"                                  echo -en " $port"
                                 #$IPTABLES -A INPUT -i $iface -d ${!INET_IP} -p UDP --dport $port -j ACCEPT                                  #$IPTABLES -A INPUT -i $iface -d ${!INET_IP} -p UDP --dport $port -j ACCEPT
Line 471  allow_icmp()
Line 330  allow_icmp()
         $IPTABLES -A INPUT -p TCP --dport 113 -j REJECT --reject-with tcp-reset #AUTH server          $IPTABLES -A INPUT -p TCP --dport 113 -j REJECT --reject-with tcp-reset #AUTH server
   
         # accept only allowed ICMP packets          # accept only allowed ICMP packets
         for type in $ACCEPT_ICMP_PACKETS; do          for type in echo-reply destination-unreachable echo-request time-exceeded; do
                 echo -en " $type"                  echo -en " $type"
                 for iface in $INTERFACES; do                  for iface in $INTERFACES; do
                         ip="IP_$iface";                          ip="IP_$iface";
                         $IPTABLES -A INPUT -i $iface -d ${!ip} -p ICMP --icmp-type $type -j ACCEPT                          $IPTABLES -A INPUT -i $iface -d ${!ip} -p ICMP --icmp-type $type -j ACCEPT
                 done                  done
         done          done
         #$IPTABLES -A INPUT  -p ICMP -j LOG --log-prefix "IN  ICMP: "  
         #$IPTABLES -A OUTPUT -p ICMP -j LOG --log-prefix "OUT ICMP: "  
         echo " done."          echo " done."
   
 } # }}}  } # }}}
Line 489  log_input_drop()
Line 346  log_input_drop()
   
         prefix="input drop: "          prefix="input drop: "
         echo "Input drop is logged with prefix '$prefix'"          echo "Input drop is logged with prefix '$prefix'"
         $IPTABLES -A INPUT $LOG_LIMIT "$prefix"          $IPTABLES -A INPUT $LOG_LIMIT -j LOG --log-prefix "$prefix"
   
 } # }}}  } # }}}
   
Line 498  log_output_drop()
Line 355  log_output_drop()
   
         prefix="output drop: "          prefix="output drop: "
         echo "Output drop is logged with prefix '$prefix'"          echo "Output drop is logged with prefix '$prefix'"
         $IPTABLES -A OUTPUT $LOG_LIMIT "$prefix"          # Ostatní pakety logujeme (neměly by být žádné takové)
           $IPTABLES -A OUTPUT $LOG_LIMIT -j LOG --log-prefix "$prefix"
 } # }}}  
   
 log_forward_drop()  
 { # {{{  
   
         prefix="forward drop: "  
         echo "Forward drop is logged with prefix '$prefix'"  
         $IPTABLES -A FORWARD $LOG_LIMIT "$prefix"  
   
 } # }}}  } # }}}
   
Line 518  accept_related()
Line 367  accept_related()
         for iface in $INTERFACES; do          for iface in $INTERFACES; do
                 ip="IP_$iface";                  ip="IP_$iface";
                 echo -en " ${!ip}($iface)"                  echo -en " ${!ip}($iface)"
                 $IPTABLES -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT                  $IPTABLES -A INPUT -i $iface -d ${!ip} -m state --state ESTABLISHED,RELATED -j ACCEPT
         done          done
         echo " done."          echo " done."
   
Line 596  case "$1" in
Line 445  case "$1" in
                 # Inicialize modules                  # Inicialize modules
                 $DEPMOD -a                  $DEPMOD -a
                 load_modules                  load_modules
                 set_default_policy  
                 remove_chains                  remove_chains
                 #                  #
                 # (un)commnet next lines as needed                  # (un)commnet next lines as needed
                 #                  #
                   set_default_policy
                 set_loopback                  set_loopback
                 nmap_scan_filter                  nmap_scan_filter
                 invalid_packet_filter                  invalid_packet_filter
                 anti_spoof_filter                  #anti_spoof_filter eth0
                 syn_flood                  syn_flood
                 mangle_prerouting                  mangle_prerouting
                 mangle_output                  mangle_output
                 log_new_connections  
                 drop_output  
                 allow_input                  allow_input
                 allow_output                  allow_output
                 allow_icmp                  allow_icmp
                 accept_related                  accept_related
                 accept_loopback                  accept_loopback
                 masquerade  
                 log_input_drop                  log_input_drop
                 log_output_drop                  log_output_drop
                 log_forward_drop  
                 ;;                  ;;
   
         stop)          stop)
                 echo -n "Stopping $DESC: "                  echo -n "Stopping $DESC: "
                 set_default_policy  
                 remove_chains                  remove_chains
                   set_default_policy
                 unload_modules                  unload_modules
                 ;;                  ;;
   

Legend:
Removed from v.2.14  
changed lines
  Added in v.2.0

Platon Group <platon@platon.org> http://platon.org/
Copyright © 2002-2006 Platon Group
Site powered by Metafox CMS
Go to Top