iptables №7 0

GNU/Linux, UNIX, Open Source → Программное обеспечение

neogeisha написала 11 декабря 2007 года в 07:38 (687 просмотров) Ведет себя как женщина; открыла 53 темы в форуме, оставила 266 комментариев на сайте.

Поругайте плиз правила.

Какие есть замечания, предложения для увеличения безопасности, упрощения правил.

Почему я могу соединиться по SSH с 192.168.2.51, ведь я разрешила только коннект с 192.168.2.50?????

iptables.sh

#!/bin/sh
IPT="/sbin/iptables"
case "$1" in
start)
  echo "   >>>>>>>> start iptables <<<<<<<<   "
  echo 1 > /proc/sys/net/ipv4/ip_forward
  $IPT -P INPUT DROP
  $IPT -P FORWARD DROP
  $IPT -P OUTPUT DROP
  $IPT -F
  $IPT -X
  clear
  $IPT -t mangle -A OUTPUT -j TTL --ttl-set 128
  # zapret nobody
  $IPT -A OUTPUT -m owner --uid-owner nobody -j DROP
  # droping all tcp-packets heving status INVALID,NEW,
  # no, not heving flags SYN,ACK
  $IPT -A INPUT -p TCP --tcp-flags SYN,ACK SYN,ACK -m state --state INVALID,NEW -j DROP
  $IPT -A OUTPUT -p TCP --tcp-flags SYN,ACK SYN,ACK -m state --state INVALID,NEW -j DROP
  # prinimaem all tcp packet k yzhe ystanovlennim soedinenijam
  $IPT -A INPUT -p TCP --syn -j ACCEPT
  $IPT -A OUTPUT -p TCP --syn -j ACCEPT
  $IPT -A INPUT -p TCP -m state --state ESTABLISHED,RELATED -j ACCEPT
  $IPT -A OUTPUT -p TCP -m state --state ESTABLISHED,RELATED -j ACCEPT
  # loopback
  $IPT -A INPUT -p ALL -i lo -j ACCEPT
  $IPT -A OUTPUT -p ALL -o lo -j ACCEPT
  # icmp
  # razreshaem icmp for local interfaces
  $IPT -A INPUT -p ICMP --icmp-type 0 -j ACCEPT
  $IPT -A OUTPUT -p ICMP -j ACCEPT
  # razreshaem icmp for 192.168.2.50
  $IPT -A INPUT -i eth0 -p ICMP -s 192.168.2.50 -j ACCEPT
  # ssh server
  $IPT -A INPUT -i eth0 -p TCP -s 192.168.2.50 --dport 22 -j ACCEPT
  $IPT -A OUTPUT -o eth0 -p TCP --sport 22 -d 192.168.2.50 -j ACCEPT
  # dns server
  $IPT -A INPUT -i eth0 -p UDP --sport 53 -j ACCEPT
  $IPT -A OUTPUT -o eth0 -p UDP --dport 53 -j ACCEPT
  # dns client
  $IPT -A INPUT -i eth0 -p TCP --sport 53 -j ACCEPT
  $IPT -A OUTPUT -o eth0 -p TCP --dport 53 -j ACCEPT
  # samba server
  $IPT -A INPUT -i eth0 -p TCP -m tcp -s 192.168.2.0/24 --dport 137:139 -j ACCEPT
  $IPT -A OUTPUT -o eth0 -p TCP -m tcp --sport 137:139 -d 192.168.2.0/24 -j ACCEPT
  # ftp server
  $IPT -A INPUT -i eth0 -p TCP --dport 20 -j ACCEPT
  $IPT -A OUTPUT -o eth0 -p TCP -m multiport --sports 20,21 -j ACCEPT
  # ftp client
  $IPT -A INPUT -i eth0 -p TCP -m multiport --sports 20,21 -j ACCEPT
  $IPT -A OUTPUT -o eth0 -p TCP --dport 21 -j ACCEPT
  $IPT -L -n
    ;;
stop)
    echo "   >>>>>>>> stop iptables <<<<<<<<   "
    echo 0 > /proc/sys/net/ipv4/ip_forward
  $IPT -P INPUT ACCEPT
  $IPT -P FORWARD ACCEPT
  $IPT -P OUTPUT ACCEPT
  $IPT -F
  $IPT -X
  $IPT -L -n
    ;;
    *)
    echo "Usage: $0 {start|stop}"
    exit 1
esac
exit 0