D€NNIS
Pharao
Thread Starter
- Mitglied seit
- 25.12.2003
- Beiträge
- 4.098
Hi,
welche Firewalls kommen bei euch zum Einsatz benutzt ihr
dedizierte Systeme für euer Sicherheitskonzept oder setzt ihr auf Personal Firewalls die direkt auf dem zu schützenden Segment laufen?
Mich interessieren alle Formen der Firewall statefull - stateless egal ob IPTables oder ZoneAlarm alles wird gerne gesehen.
Meine Firewall wird von meinem Rechner superHorst gebildet auf Basis von IPTables respektive Netfilter (Debian + Kernel 2.4.24)
Da viele ja nur IPTables schreiben um sich zu profilieren will ich euch mein Skript als Beweis nicht vorenthalten.
#---------------SuperHorst IPTables Firewall version0.07---------------
#!/bin/sh
#
IPTABLES=/sbin/iptables
IFCONFIG=/sbin/ifconfig
MODPROBE=/sbin/modprobe
DEPMOD=/sbin/depmod
SLEEP=/bin/sleep
PON=/usr/bin/pon
POFF=/usr/bin/poff
AWK=/usr/bin/awk
#
INTIF=eth1
INTNET="192.168.101.80/28"
INTIP="192.168.101.82/28"
EXTIF=ppp0
#
$DEPMOD -a
#
$MODPROBE ip_conntrack
$MODPROBE ip_conntrack_ftp
$MODPROBE iptable_nat
$MODPROBE iptable_filter
$MODPROBE ip_nat_ftp
$MODPROBE ipt_state
$MODPROBE ipt_REJECT
$MODPROBE ipt_LOG
#
echo "1" > /proc/sys/net/ipv4/ip_forward
#
$IPTABLES -Z
$IPTABLES -P INPUT DROP
$IPTABLES -F INPUT
$IPTABLES -P OUTPUT DROP
$IPTABLES -F OUTPUT
$IPTABLES -P FORWARD DROP
$IPTABLES -F FORWARD
#
$IPTABLES -t nat -F
#
$POFF dsl-provider
$SLEEP 1
$PON dsl-provider
$SLEEP 2
#
EXTIP="`$IFCONFIG $EXTIF | $AWK /$EXTIF/'{next}//{split($0,a,":")\
;split(a[2],a," ");print a[1];exit}'`"
#
$IPTABLES -A INPUT -i $EXTIF -d $EXTIP \
-p tcp -m state --state NEW --dport xxxx -j ACCEPT
$IPTABLES -A INPUT -i $EXTIF -d $EXTIP \
-p udp -m state --state NEW --dport xxxx -j ACCEPT
$IPTABLES -A INPUT -i $EXTIF -d $EXTIP \
-m state --state ESTABLISHED,RELATED -j ACCEPT
$IPTABLES -A INPUT -i lo -j ACCEPT
$IPTABLES -A INPUT -i $EXTIF -s $INTNET -j LOG --log-level info
$IPTABLES -A INPUT -i $EXTIF -s $INTNET -j REJECT
$IPTABLES -A INPUT -i $INTIF -s $INTNET -j ACCEPT
#
$IPTABLES -A OUTPUT -o lo -j ACCEPT
$IPTABLES -A OUTPUT -o $INTIF -d $INTNET -j ACCEPT
$IPTABLES -A OUTPUT -p udp -d $INTNET --dport xxx:xxx -j ACCEPT
$IPTABLES -A OUTPUT -o $EXTIF -j ACCEPT
#
$IPTABLES -A FORWARD -i $EXTIF -o $INTIF \
-p tcp --dport xxxx -m state --state NEW -j ACCEPT
$IPTABLES -A FORWARD -i $EXTIF -o $INTIF \
-m state --state ESTABLISHED,RELATED -j ACCEPT
$IPTABLES -A FORWARD -i $INTIF -o $EXTIF -j ACCEPT
$IPTABLES -A FORWARD -j LOG
#
$IPTABLES -t nat -A POSTROUTING -o $EXTIF -j SNAT --to $EXTIP
$IPTABLES -t nat -A PREROUTING -p tcp -d $EXTIP --dport xxxx -j DNAT --to xxx.xxx.xxx.xxx:xxxx
welche Firewalls kommen bei euch zum Einsatz benutzt ihr
dedizierte Systeme für euer Sicherheitskonzept oder setzt ihr auf Personal Firewalls die direkt auf dem zu schützenden Segment laufen?
Mich interessieren alle Formen der Firewall statefull - stateless egal ob IPTables oder ZoneAlarm alles wird gerne gesehen.
Meine Firewall wird von meinem Rechner superHorst gebildet auf Basis von IPTables respektive Netfilter (Debian + Kernel 2.4.24)
Da viele ja nur IPTables schreiben um sich zu profilieren will ich euch mein Skript als Beweis nicht vorenthalten.
#---------------SuperHorst IPTables Firewall version0.07---------------
#!/bin/sh
#
IPTABLES=/sbin/iptables
IFCONFIG=/sbin/ifconfig
MODPROBE=/sbin/modprobe
DEPMOD=/sbin/depmod
SLEEP=/bin/sleep
PON=/usr/bin/pon
POFF=/usr/bin/poff
AWK=/usr/bin/awk
#
INTIF=eth1
INTNET="192.168.101.80/28"
INTIP="192.168.101.82/28"
EXTIF=ppp0
#
$DEPMOD -a
#
$MODPROBE ip_conntrack
$MODPROBE ip_conntrack_ftp
$MODPROBE iptable_nat
$MODPROBE iptable_filter
$MODPROBE ip_nat_ftp
$MODPROBE ipt_state
$MODPROBE ipt_REJECT
$MODPROBE ipt_LOG
#
echo "1" > /proc/sys/net/ipv4/ip_forward
#
$IPTABLES -Z
$IPTABLES -P INPUT DROP
$IPTABLES -F INPUT
$IPTABLES -P OUTPUT DROP
$IPTABLES -F OUTPUT
$IPTABLES -P FORWARD DROP
$IPTABLES -F FORWARD
#
$IPTABLES -t nat -F
#
$POFF dsl-provider
$SLEEP 1
$PON dsl-provider
$SLEEP 2
#
EXTIP="`$IFCONFIG $EXTIF | $AWK /$EXTIF/'{next}//{split($0,a,":")\
;split(a[2],a," ");print a[1];exit}'`"
#
$IPTABLES -A INPUT -i $EXTIF -d $EXTIP \
-p tcp -m state --state NEW --dport xxxx -j ACCEPT
$IPTABLES -A INPUT -i $EXTIF -d $EXTIP \
-p udp -m state --state NEW --dport xxxx -j ACCEPT
$IPTABLES -A INPUT -i $EXTIF -d $EXTIP \
-m state --state ESTABLISHED,RELATED -j ACCEPT
$IPTABLES -A INPUT -i lo -j ACCEPT
$IPTABLES -A INPUT -i $EXTIF -s $INTNET -j LOG --log-level info
$IPTABLES -A INPUT -i $EXTIF -s $INTNET -j REJECT
$IPTABLES -A INPUT -i $INTIF -s $INTNET -j ACCEPT
#
$IPTABLES -A OUTPUT -o lo -j ACCEPT
$IPTABLES -A OUTPUT -o $INTIF -d $INTNET -j ACCEPT
$IPTABLES -A OUTPUT -p udp -d $INTNET --dport xxx:xxx -j ACCEPT
$IPTABLES -A OUTPUT -o $EXTIF -j ACCEPT
#
$IPTABLES -A FORWARD -i $EXTIF -o $INTIF \
-p tcp --dport xxxx -m state --state NEW -j ACCEPT
$IPTABLES -A FORWARD -i $EXTIF -o $INTIF \
-m state --state ESTABLISHED,RELATED -j ACCEPT
$IPTABLES -A FORWARD -i $INTIF -o $EXTIF -j ACCEPT
$IPTABLES -A FORWARD -j LOG
#
$IPTABLES -t nat -A POSTROUTING -o $EXTIF -j SNAT --to $EXTIP
$IPTABLES -t nat -A PREROUTING -p tcp -d $EXTIP --dport xxxx -j DNAT --to xxx.xxx.xxx.xxx:xxxx
), glaube aber sowas wie rt314 oder so, auf alle fälle schon mal ne hilfe, ohne portforwarding bleibt da schon ne menge draußen, bzw klopft an die tür und wird nicht reingelassen 