Platon Technologies
not logged in Login Registration
EnglishSlovak
open source software development celebrating 10 years of open source development! Thursday, March 28, 2024

Diff for scripts/shell/firewall/fw-universal.sh between version 2.92 and 2.95

version 2.92, 2012/10/30 16:08:52 version 2.95, 2013/09/21 03:01:24
Line 22 
Line 22 
 # Licensed under terms of GNU General Public License.  # Licensed under terms of GNU General Public License.
 # All rights reserved.  # All rights reserved.
 #  #
 # $Platon: scripts/shell/firewall/fw-universal.sh,v 2.91 2012-02-14 22:52:12 rajo Exp $  # $Platon: scripts/shell/firewall/fw-universal.sh,v 2.94 2013-09-21 02:57:58 nepto Exp $
 #  #
 # Changelog:  # Changelog:
 # 2003-10-24 - created  # 2003-10-24 - created
Line 461  mangle_output()
Line 461  mangle_output()
   
 masquerade()  masquerade()
 { # {{{  { # {{{
         if [ "X$XEN_MODE" = "Xon" ]; then          if [ -z "$NAT_LAN_IFACE" ]; then
                 print_info "XEN_MODE enabled: masquerade is not supported in this mode";  
                 return;                  return;
         fi          fi
         if [ ! -z "$NAT_LAN_IFACE" ]; then  
         print_info -en "NAT: Enabling packet forwarding..."  
         echo 1 > /proc/sys/net/ipv4/ip_forward  
         print_info " done."  
                 print_info -en "NAT: Masquerading local subnet: $NAT_SUBNET_IFACE --> $NAT_LAN_IFACE"  
   
                 ip="`get_first_ip_addr IP_$NAT_SUBNET_IFACE`"  
                 netmask="Mask_$NAT_SUBNET_IFACE"  
                 localnet="$ip/${!netmask}"  
   
                 lan_ip="`get_first_ip_addr IP_$NAT_LAN_IFACE`"  
   
                 # alow packets from private subnet  
                 $IPTABLES -A FORWARD -s ! $localnet -i $NAT_SUBNET_IFACE -j DROP  
                 for client_ip in $NAT_CLIENT_DROP; do  
                         print_info -en " !$client_ip";  
                         $IPTABLES -A FORWARD -s $client_ip -i $NAT_SUBNET_IFACE -j DROP  
                 done  
   
                 for redirect in $NAT_TCP_PORT_REDIRECT; do          print_info -en "NAT: Masquerading local subnet: $NAT_SUBNET_IFACE --> $NAT_LAN_IFACE"
                         #eval `echo $redirect | $AWK -v FS=: '{ printf "remote_port=%s; local_port=%s;", $1, $2; }'`  
                         eval `echo $redirect | \  
                                 $AWK -v FS=: '  (NF == 2) { remote_ip = "$lan_ip"; remote_port = $1; local_port = $2; } \  
                                                                 (NF == 3) { remote_ip = $2;        remote_port = $1; local_port = $3; } \  
                                                                 END { printf "remote_ip=%s; remote_port=%s; local_port=%s;", remote_ip, remote_port, local_port; }'`  
                         print_info -en " $remote_port>>$remote_ip:$local_port(tcp)"  
                         $IPTABLES -t nat -A PREROUTING -p TCP \  
                                 -i $NAT_SUBNET_IFACE \  
                                 --dport $remote_port -j REDIRECT --to-port $local_port  
                 done  
                 for redirect in $NAT_UDP_PORT_REDIRECT; do  
                         #eval `echo $redirect | $AWK -v FS=: '{ printf "remote_port=%s; local_port=%s;", $1, $2; }'`  
                         eval `echo $redirect | \  
                                 $AWK -v FS=: '  (NF == 2) { dnat = "no"  ; remote_ip = "X"; remote_port = $1; local_port = $2; } \  
                                                                 (NF == 3) { dnat = "yes" ; remote_ip = $2;  remote_port = $1; local_port = $3; } \  
                                                                 END { printf "dnat=%s; remote_ip=%s; remote_port=%s; local_port=%s;", dnat, remote_ip, remote_port, local_port; }'`  
                         print_info -en " $remote_port>>$remote_ip:$local_port(udp)"  
                         if [ "x$dnat" = "xyes" ]; then  
                                 $IPTABLES -t nat -A PREROUTING -p UDP -i $NAT_SUBNET_IFACE -d ! $ip \  
                                 --dport $local_port -j DNAT --to $remote_ip:$remote_port  
                                 $IPTABLES -A FORWARD -p UDP -i $NAT_SUBNET_IFACE -d ! $ip --dport $local_port -j ACCEPT  
                         else  
                                 $IPTABLES -t nat -A PREROUTING -p UDP \  
                                         -i ! $NAT_LAN_IFACE -d ! $lan_ip \  
                                         --dport $remote_port -j REDIRECT --to-port $local_port  
                         fi  
                 done  
   
                 #$IPTABLES -t nat -A POSTROUTING -s $localnet -o $NAT_LAN_IFACE -j MASQUERADE          if [ "X$XEN_MODE" = "Xon" ]; then
                 $IPTABLES -t nat -A POSTROUTING -o $NAT_LAN_IFACE -j MASQUERADE                  $IPTABLES -t nat -A POSTROUTING -o $NAT_LAN_IFACE -j MASQUERADE
   
                 print_info " done."                  print_info " done."
                   print_info "XEN_MODE enabled: masquerade is limited to basic functionality only";
                   return;
           fi
   
                 # don't forward Miscrosoft protocols - NOT RFC compliant packets          ip="`get_first_ip_addr IP_$NAT_SUBNET_IFACE`"
                 if [ ! -z "$NAT_FORWARD_MICROSOFT" ]; then          netmask="Mask_$NAT_SUBNET_IFACE"
                         if [ "x$NAT_FORWARD_MICROSOFT" = "xno" ]; then          localnet="$ip/${!netmask}"
                                 $IPTABLES -A FORWARD -p TCP ! --syn -m conntrack --ctstate NEW -j DROP  
   
                                 for port in 67 68 69 135 445 1434 6667; do  
                                         $IPTABLES -A FORWARD -p TCP --dport $port -j DROP  
                                         $IPTABLES -A FORWARD -p UDP --dport $port -j DROP  
                                 done  
                         fi  
                 fi  
   
                 if [ ! -z "$NAT_FORWARD_TCP_PORTS" ]; then          lan_ip="`get_first_ip_addr IP_$NAT_LAN_IFACE`"
                         print_info -en "\tAccepting FORWARD TCP ports:"  
                         for port in $NAT_FORWARD_TCP_PORTS; do          # alow packets from private subnet
                                 print_info -en " $port"          $IPTABLES -A FORWARD -s ! $localnet -i $NAT_SUBNET_IFACE -j DROP
                                 $IPTABLES -A FORWARD -p TCP --dport $port -m conntrack --ctstate NEW -j ACCEPT          for client_ip in $NAT_CLIENT_DROP; do
                         done                  print_info -en " !$client_ip";
                         print_info " done."                  $IPTABLES -A FORWARD -s $client_ip -i $NAT_SUBNET_IFACE -j DROP
                 fi          done
   
                 if [ ! -z "$NAT_FORWARD_UDP_PORTS" ]; then          for redirect in $NAT_TCP_PORT_REDIRECT; do
                         print_info -en "\tAccepting FORWARD UDP ports:"                  #eval `echo $redirect | $AWK -v FS=: '{ printf "remote_port=%s; local_port=%s;", $1, $2; }'`
                         for port in $NAT_FORWARD_UDP_PORTS; do                  eval `echo $redirect | \
                                 print_info -en " $port"                          $AWK -v FS=: '  (NF == 2) { remote_ip = "$lan_ip"; remote_port = $1; local_port = $2; } \
                                 $IPTABLES -A FORWARD -p UDP --dport $port -m conntrack --ctstate NEW -j ACCEPT                                                          (NF == 3) { remote_ip = $2;        remote_port = $1; local_port = $3; } \
                         done                                                          END { printf "remote_ip=%s; remote_port=%s; local_port=%s;", remote_ip, remote_port, local_port; }'`
                         print_info " done."                  print_info -en " $remote_port>>$remote_ip:$local_port(tcp)"
                   $IPTABLES -t nat -A PREROUTING -p TCP \
                           -i $NAT_SUBNET_IFACE \
                           --dport $remote_port -j REDIRECT --to-port $local_port
           done
           for redirect in $NAT_UDP_PORT_REDIRECT; do
                   #eval `echo $redirect | $AWK -v FS=: '{ printf "remote_port=%s; local_port=%s;", $1, $2; }'`
                   eval `echo $redirect | \
                           $AWK -v FS=: '  (NF == 2) { dnat = "no"  ; remote_ip = "X"; remote_port = $1; local_port = $2; } \
                                                           (NF == 3) { dnat = "yes" ; remote_ip = $2;  remote_port = $1; local_port = $3; } \
                                                           END { printf "dnat=%s; remote_ip=%s; remote_port=%s; local_port=%s;", dnat, remote_ip, remote_port, local_port; }'`
                   print_info -en " $remote_port>>$remote_ip:$local_port(udp)"
                   if [ "x$dnat" = "xyes" ]; then
                           $IPTABLES -t nat -A PREROUTING -p UDP -i $NAT_SUBNET_IFACE -d ! $ip \
                           --dport $local_port -j DNAT --to $remote_ip:$remote_port
                           $IPTABLES -A FORWARD -p UDP -i $NAT_SUBNET_IFACE -d ! $ip --dport $local_port -j ACCEPT
                   else
                           $IPTABLES -t nat -A PREROUTING -p UDP \
                                   -i ! $NAT_LAN_IFACE -d ! $lan_ip \
                                   --dport $remote_port -j REDIRECT --to-port $local_port
                 fi                  fi
           done
   
                 # NAT_FORWARD_TCP_HOSTS {{{          #$IPTABLES -t nat -A POSTROUTING -s $localnet -o $NAT_LAN_IFACE -j MASQUERADE
                 if [ ! -z "$NAT_FORWARD_TCP_HOSTS" ]; then          $IPTABLES -t nat -A POSTROUTING -o $NAT_LAN_IFACE -j MASQUERADE
                         print_info -en "\tAccepting FORWARD TCP hosts:"  
                         for host in $NAT_FORWARD_TCP_HOSTS; do  
                                 print_info -en " $host"  
                                 $IPTABLES -A FORWARD -p TCP -d $host -m conntrack --ctstate NEW -j ACCEPT  
                         done  
                         print_info " done."  
                 fi  
                 # }}}  
   
                 # NAT_FORWARD_UDP_HOSTS {{{          print_info " done."
                 if [ ! -z "$NAT_FORWARD_UDP_HOSTS" ]; then  
                         print_info -en "\tAccepting FORWARD UDP hosts:"  
                         for host in $NAT_FORWARD_UDP_HOSTS; do  
                                 print_info -en " $host"  
                                 $IPTABLES -A FORWARD -p UDP -d $host -m conntrack --ctstate NEW -j ACCEPT  
                         done  
                         print_info " done."  
                 fi  
                 # }}}  
   
                 # NAT_FORWARD_TCP_CLIENTS {{{          # don't forward Miscrosoft protocols - NOT RFC compliant packets
                 if [ ! -z "$NAT_FORWARD_TCP_CLIENTS" ]; then          if [ ! -z "$NAT_FORWARD_MICROSOFT" ]; then
                         print_info -en "\tAccepting FORWARD TCP clients:"                  if [ "x$NAT_FORWARD_MICROSOFT" = "xno" ]; then
                         for client in $NAT_FORWARD_TCP_CLIENTS; do                          $IPTABLES -A FORWARD -p TCP ! --syn -m conntrack --ctstate NEW -j DROP
                                 print_info -en " $client"  
                                 $IPTABLES -A FORWARD -p TCP -s $client -m conntrack --ctstate NEW -j ACCEPT  
                         done  
                         print_info " done."  
                 fi  
                 # }}}  
   
                 # NAT_FORWARD_UDP_CLIENTS {{{                          for port in 67 68 69 135 445 1434 6667; do
                 if [ ! -z "$NAT_FORWARD_UDP_CLIENTS" ]; then                                  $IPTABLES -A FORWARD -p TCP --dport $port -j DROP
                         print_info -en "\tAccepting FORWARD UDP clients:"                                  $IPTABLES -A FORWARD -p UDP --dport $port -j DROP
                         for client in $NAT_FORWARD_UDP_CLIENTS; do  
                                 print_info -en " $client"  
                                 $IPTABLES -A FORWARD -p UDP -s $client -m conntrack --ctstate NEW -j ACCEPT  
                         done                          done
                         print_info " done."  
                 fi                  fi
                 # }}}          fi
   
                 print_info -en "\tAccepting ICMP packets:"          if [ ! -z "$NAT_FORWARD_TCP_PORTS" ]; then
                 for type in $ACCEPT_ICMP_PACKETS; do                  print_info -en "\tAccepting FORWARD TCP ports:"
                         print_info -en " $type"                  for port in $NAT_FORWARD_TCP_PORTS; do
                         $IPTABLES -A FORWARD -p ICMP --icmp-type $type -j ACCEPT                          print_info -en " $port"
                 done                          $IPTABLES -A FORWARD -p TCP --dport $port -m conntrack --ctstate NEW -j ACCEPT
                 #$IPTABLES_LOG -A FORWARD -p ICMP -j LOG --log-prefix "FWD ICMP: "                  done
                 print_info " done."                  print_info " done."
           fi
   
                 # Port forwarding to local machines          if [ ! -z "$NAT_FORWARD_UDP_PORTS" ]; then
                 if [ ! -z "$NAT_TCP_PORT_FORWARD" ]; then                  print_info -en "\tAccepting FORWARD UDP ports:"
                         print_info -en "\tForwarding TCP ports to local machines:"                  for port in $NAT_FORWARD_UDP_PORTS; do
                         for redirect in $NAT_TCP_PORT_FORWARD; do                          print_info -en " $port"
                                 #eval `echo $redirect | $AWK -v FS=: '{ printf "src_port=%s; local_machine=%s; dest_port=%s;", $1, $2, $3; }'`                          $IPTABLES -A FORWARD -p UDP --dport $port -m conntrack --ctstate NEW -j ACCEPT
                                 eval `echo $redirect | \                  done
                                         $AWK -v FS=: '  (NF == 3) { src_ip = "$lan_ip" ; src_port = $1; local_machine = $2; dest_port = $3; } \                  print_info " done."
                                                                         (NF == 4) { src_ip = $1 ; src_port = $2; local_machine = $3; dest_port = $4; } \          fi
                                                                         END { printf "src_ip=%s; src_port=%s; local_machine=%s; dest_port=%s;", src_ip, src_port, local_machine, dest_port; }'`  
                                 print_info -en " $src_ip:$src_port -> $local_machine:$dest_port"  
                                 $IPTABLES -t nat -A PREROUTING -p TCP -i $NAT_LAN_IFACE -d $src_ip \  
                                 --dport $src_port -j DNAT --to $local_machine:$dest_port  
                                 $IPTABLES -A FORWARD -p TCP -i $NAT_LAN_IFACE -d $local_machine --dport $dest_port -j ACCEPT  
                         done  
                         print_info " done."  
                 fi  
                 if [ ! -z "$NAT_UDP_PORT_FORWARD" ]; then  
                         print_info -en "\tForwarding UDP ports to local machines:"  
                         for redirect in $NAT_UDP_PORT_FORWARD; do  
                                 #eval `echo $redirect | $AWK -v FS=: '{ printf "src_port=%s; local_machine=%s; dest_port=%s;", $1, $2, $3; }'`  
                                 eval `echo $redirect | \  
                                         $AWK -v FS=: '  (NF == 3) { src_ip = "$lan_ip" ; src_port = $1; local_machine = $2; dest_port = $3; } \  
                                                                         (NF == 4) { src_ip = $1 ; src_port = $2; local_machine = $3; dest_port = $4; } \  
                                                                         END { printf "src_ip=%s; src_port=%s; local_machine=%s; dest_port=%s;", src_ip, src_port, local_machine, dest_port; }'`  
                                 print_info -en " $src_port -> $local_machine:$dest_port"  
                                 $IPTABLES -t nat -A PREROUTING -p UDP -i $NAT_LAN_IFACE -d $lan_ip \  
                                 --dport $src_port -j DNAT --to $local_machine:$dest_port  
                                 $IPTABLES -A FORWARD -p UDP -i $NAT_LAN_IFACE -d $local_machine --dport $dest_port -j ACCEPT  
                         done  
                         print_info " done."  
                 fi  
   
                 # Keep state of connections from private subnets          # NAT_FORWARD_TCP_HOSTS {{{
                 $IPTABLES -A OUTPUT  -m conntrack --ctstate NEW -o $NAT_LAN_IFACE -j ACCEPT          if [ ! -z "$NAT_FORWARD_TCP_HOSTS" ]; then
                 #$IPTABLES -A FORWARD -m conntrack --ctstate NEW -o $NAT_LAN_IFACE -j ACCEPT                  print_info -en "\tAccepting FORWARD TCP hosts:"
                 $IPTABLES -A FORWARD -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT                  for host in $NAT_FORWARD_TCP_HOSTS; do
                           print_info -en " $host"
                 # hide NAT clients behind firewall: - set TTL                          $IPTABLES -A FORWARD -p TCP -d $host -m conntrack --ctstate NEW -j ACCEPT
                 # XXX: warning: this breaks traceroute !!!                  done
                 if [ ! "a$NAT_SET_TTL" = "ano" ]; then                  print_info " done."
                         print_info "NAT: clients hidden behind firewall - setting TTL to $NAT_SET_TTL"          fi
                         $IPTABLES -t mangle -A POSTROUTING -o $NAT_LAN_IFACE -j TTL --ttl-set $NAT_SET_TTL          # }}}
                 fi  
   
           # NAT_FORWARD_UDP_HOSTS {{{
           if [ ! -z "$NAT_FORWARD_UDP_HOSTS" ]; then
                   print_info -en "\tAccepting FORWARD UDP hosts:"
                   for host in $NAT_FORWARD_UDP_HOSTS; do
                           print_info -en " $host"
                           $IPTABLES -A FORWARD -p UDP -d $host -m conntrack --ctstate NEW -j ACCEPT
                   done
                   print_info " done."
           fi
           # }}}
   
           # NAT_FORWARD_TCP_CLIENTS {{{
           if [ ! -z "$NAT_FORWARD_TCP_CLIENTS" ]; then
                   print_info -en "\tAccepting FORWARD TCP clients:"
                   for client in $NAT_FORWARD_TCP_CLIENTS; do
                           print_info -en " $client"
                           $IPTABLES -A FORWARD -p TCP -s $client -m conntrack --ctstate NEW -j ACCEPT
                   done
                   print_info " done."
           fi
           # }}}
   
           # NAT_FORWARD_UDP_CLIENTS {{{
           if [ ! -z "$NAT_FORWARD_UDP_CLIENTS" ]; then
                   print_info -en "\tAccepting FORWARD UDP clients:"
                   for client in $NAT_FORWARD_UDP_CLIENTS; do
                           print_info -en " $client"
                           $IPTABLES -A FORWARD -p UDP -s $client -m conntrack --ctstate NEW -j ACCEPT
                   done
                   print_info " done."
           fi
           # }}}
   
           print_info -en "\tAccepting ICMP packets:"
           for type in $ACCEPT_ICMP_PACKETS; do
                   print_info -en " $type"
                   $IPTABLES -A FORWARD -p ICMP --icmp-type $type -j ACCEPT
           done
           #$IPTABLES_LOG -A FORWARD -p ICMP -j LOG --log-prefix "FWD ICMP: "
           print_info " done."
   
           # Port forwarding to local machines
           if [ ! -z "$NAT_TCP_PORT_FORWARD" ]; then
                   print_info -en "\tForwarding TCP ports to local machines:"
                   for redirect in $NAT_TCP_PORT_FORWARD; do
                           #eval `echo $redirect | $AWK -v FS=: '{ printf "src_port=%s; local_machine=%s; dest_port=%s;", $1, $2, $3; }'`
                           eval `echo $redirect | \
                                   $AWK -v FS=: '  (NF == 3) { src_ip = "$lan_ip" ; src_port = $1; local_machine = $2; dest_port = $3; } \
                                                                   (NF == 4) { src_ip = $1 ; src_port = $2; local_machine = $3; dest_port = $4; } \
                                                                   END { printf "src_ip=%s; src_port=%s; local_machine=%s; dest_port=%s;", src_ip, src_port, local_machine, dest_port; }'`
                           print_info -en " $src_ip:$src_port -> $local_machine:$dest_port"
                           $IPTABLES -t nat -A PREROUTING -p TCP -i $NAT_LAN_IFACE -d $src_ip \
                           --dport $src_port -j DNAT --to $local_machine:$dest_port
                           $IPTABLES -A FORWARD -p TCP -i $NAT_LAN_IFACE -d $local_machine --dport $dest_port -j ACCEPT
                   done
                   print_info " done."
           fi
           if [ ! -z "$NAT_UDP_PORT_FORWARD" ]; then
                   print_info -en "\tForwarding UDP ports to local machines:"
                   for redirect in $NAT_UDP_PORT_FORWARD; do
                           #eval `echo $redirect | $AWK -v FS=: '{ printf "src_port=%s; local_machine=%s; dest_port=%s;", $1, $2, $3; }'`
                           eval `echo $redirect | \
                                   $AWK -v FS=: '  (NF == 3) { src_ip = "$lan_ip" ; src_port = $1; local_machine = $2; dest_port = $3; } \
                                                                   (NF == 4) { src_ip = $1 ; src_port = $2; local_machine = $3; dest_port = $4; } \
                                                                   END { printf "src_ip=%s; src_port=%s; local_machine=%s; dest_port=%s;", src_ip, src_port, local_machine, dest_port; }'`
                           print_info -en " $src_port -> $local_machine:$dest_port"
                           $IPTABLES -t nat -A PREROUTING -p UDP -i $NAT_LAN_IFACE -d $lan_ip \
                           --dport $src_port -j DNAT --to $local_machine:$dest_port
                           $IPTABLES -A FORWARD -p UDP -i $NAT_LAN_IFACE -d $local_machine --dport $dest_port -j ACCEPT
                   done
                   print_info " done."
           fi
   
           # Keep state of connections from private subnets
           $IPTABLES -A OUTPUT  -m conntrack --ctstate NEW -o $NAT_LAN_IFACE -j ACCEPT
           #$IPTABLES -A FORWARD -m conntrack --ctstate NEW -o $NAT_LAN_IFACE -j ACCEPT
           $IPTABLES -A FORWARD -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
   
           # hide NAT clients behind firewall: - set TTL
           # XXX: warning: this breaks traceroute !!!
           if [ ! "a$NAT_SET_TTL" = "ano" ]; then
                   print_info "NAT: clients hidden behind firewall - setting TTL to $NAT_SET_TTL"
                   $IPTABLES -t mangle -A POSTROUTING -o $NAT_LAN_IFACE -j TTL --ttl-set $NAT_SET_TTL
         fi          fi
 } # }}}  } # }}}
   
Line 1748  case "$1" in
Line 1748  case "$1" in
                 allow_icmp                  allow_icmp
                 accept_loopback                  accept_loopback
                 masquerade                  masquerade
                   forward_on
                 log_input_drop                  log_input_drop
                 log_output_drop                  log_output_drop
                 log_forward_drop                  log_forward_drop
                 forward_on  
                 do_ip_accounting                  do_ip_accounting
                 shaping_off                  shaping_off
                 shaping_on                  shaping_on

Legend:
Removed from v.2.92  
changed lines
  Added in v.2.95

Platon Group <platon@platon.org> http://platon.org/
Copyright © 2002-2006 Platon Group
Site powered by Metafox CMS
Go to Top