Lug-dd December 2009

lug-dd@mailman.schlittermann.de

30 participants
21 discussions

Routing Netzwerk
by Andreas Oettel 02 Dec '09

02 Dec '09

Hallo an alle, ich habe ein kleines Problem, wo ich mittlerweile nicht mehr weiß wonach ich im Google suchen soll. Ich habe hier eine Netzwerk das 2 Wohnungen miteinander verbindet. Wohnung 1 darin ist ein Switch, an dem hängt ein Rechner mit der IP 192.168.68.1 und ein DSL-Modem Wohnung 2 darin ist ein Switch, an dem hängt mein Server (Router, Firewall, Datenspeicher) mit _einer_ Netzwerkkarte und _zwei_ IP's (die erste ist die 192.168.92.11 für ein Wohnungsinternes Netzwerk und die zweite ist die 192.168.68.11 um den Rechner aus Wohnung 1 anzubinden) Dieser Rechner wählt sich auch mittels dem DSL-Modem in Wohnung 1 in die bunte weite Netzwelt ein. Ich habe iptables (siehe Abschnitt unten "firewall") soweit konfiguriert, dass ich von Wohnung 2 aus auf alle Dienste des Servers (IMAP, SQUID, dnsmasq usw.) und auf das Internet zugreifen kann. Jetzt möchte ich Wohnung 1 auch über den Server routen und (nur) das Internet und die dafür notwendigen Dienste zur Verfügung stellen. Ich scheitere aber schon mal daran, dass ich nicht mal einen Ping hinbekomme. Es kommt immer Netzwerk nicht erreichbar. Kann mir jemand ein Tip geben, wo ich suchen muss? Habe ich hier ein Problem mit der Serverkonfiguration oder evtl. den beiden Switchen? Die Switche sind der übliche Endkundenkram. Kabel einstecken ist alles was man bei den Dingern machen kann. Danke für die Hilfe Andreas Anhang: Abschnitt "firewall" (gekürzt) "interfaces" Datei "firewall" (ungekürzt) -------Datei "firewall"---------- case "$1" in start) echo "Starte IP-Paketfilter" # iptables-Modul modprobe ip_tables # Connection-Tracking-Module modprobe ip_conntrack # Das Modul ip_conntrack_irc ist erst bei Kerneln >= 2.4.19 # verfuegbar modprobe ip_conntrack_irc modprobe ip_conntrack_ftp # Tabelle flushen iptables -F iptables -t nat -F iptables -t mangle -F iptables -X iptables -t nat -X iptables -t mangle -X # Default-Policies setzen iptables -P INPUT DROP iptables -P OUTPUT DROP iptables -P FORWARD DROP # MY_REJECT-Chain iptables -N MY_REJECT # MY_REJECT fuellen iptables -A MY_REJECT -p tcp -m limit --limit 7200/h -j LOG --log-prefix "REJECT TCP " iptables -A MY_REJECT -p tcp -j REJECT --reject-with tcp-reset iptables -A MY_REJECT -p udp -m limit --limit 7200/h -j LOG --log-prefix "REJECT UDP " iptables -A MY_REJECT -p udp -j REJECT --reject-with icmp-port-unreachable iptables -A MY_REJECT -p icmp -m limit --limit 7200/h -j LOG --log-prefix "DROP ICMP " iptables -A MY_REJECT -p icmp -j DROP iptables -A MY_REJECT -m limit --limit 7200/h -j LOG --log-prefix "REJECT OTHER " iptables -A MY_REJECT -j REJECT --reject-with icmp-proto-unreachable # MY_DROP-Chain iptables -N MY_DROP iptables -A MY_DROP -m limit --limit 7200/h -j LOG --log-prefix "PORTSCAN DROP " iptables -A MY_DROP -j DROP # Alle verworfenen Pakete protokollieren iptables -A INPUT -m state --state INVALID -m limit --limit 7200/h -j LOG --log-prefix "INPUT INVALID " iptables -A OUTPUT -m state --state INVALID -m limit --limit 7200/h -j LOG --log-prefix "OUTPUT INVALID " iptables -A FORWARD -m state --state INVALID -m limit --limit 7200/h -j LOG --log-prefix "FORWARD INVALID " # Korrupte Pakete zurueckweisen iptables -A INPUT -m state --state INVALID -j DROP iptables -A OUTPUT -m state --state INVALID -j DROP iptables -A FORWARD -m state --state INVALID -j DROP # Stealth Scans etc. DROPpen # Keine Flags gesetzt iptables -A INPUT -p tcp --tcp-flags ALL NONE -j MY_DROP iptables -A FORWARD -p tcp --tcp-flags ALL NONE -j MY_DROP # SYN und FIN gesetzt iptables -A INPUT -p tcp --tcp-flags SYN,FIN SYN,FIN -j MY_DROP iptables -A FORWARD -p tcp --tcp-flags SYN,FIN SYN,FIN -j MY_DROP # SYN und RST gleichzeitig gesetzt iptables -A INPUT -p tcp --tcp-flags SYN,RST SYN,RST -j MY_DROP iptables -A FORWARD -p tcp --tcp-flags SYN,RST SYN,RST -j MY_DROP # FIN und RST gleichzeitig gesetzt iptables -A INPUT -p tcp --tcp-flags FIN,RST FIN,RST -j MY_DROP iptables -A FORWARD -p tcp --tcp-flags FIN,RST FIN,RST -j MY_DROP # FIN ohne ACK iptables -A INPUT -p tcp --tcp-flags ACK,FIN FIN -j MY_DROP iptables -A FORWARD -p tcp --tcp-flags ACK,FIN FIN -j MY_DROP # PSH ohne ACK iptables -A INPUT -p tcp --tcp-flags ACK,PSH PSH -j MY_DROP iptables -A FORWARD -p tcp --tcp-flags ACK,PSH PSH -j MY_DROP # URG ohne ACK iptables -A INPUT -p tcp --tcp-flags ACK,URG URG -j MY_DROP iptables -A FORWARD -p tcp --tcp-flags ACK,URG URG -j MY_DROP # Loopback-Netzwerk-Kommunikation zulassen iptables -A INPUT -i lo -j ACCEPT iptables -A OUTPUT -o lo -j ACCEPT # Maximum Segment Size (MSS) für das Forwarding an PMTU anpassen iptables -A FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu # Connection-Tracking aktivieren iptables -A OUTPUT -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT # iptables -A FORWARD -i ! ra0 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT iptables -A FORWARD -i ! ppp0 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT # HTTP iptables -A INPUT -s 192.168.92.0/16 -m state --state NEW -p tcp --dport 3128 -j ACCEPT iptables -A PREROUTING -t nat -s 192.168.92.0/16 -p tcp --dport 80 -j REDIRECT --to-ports 3128 # HTTPS iptables -A POSTROUTING -t nat -s 192.168.92.0/16 -m state --state NEW -p tcp --dport 443 -j MASQUERADE # SMTP iptables -A POSTROUTING -t nat -s 192.168.92.0/16 -m state --state NEW -p tcp --dport 25 -j MASQUERADE # SMTPS iptables -A POSTROUTING -t nat -s 192.168.92.0/16 -m state --state NEW -p tcp --dport 465 -j MASQUERADE # IMAPS iptables -A INPUT -s 192.168.92.0/16 -m state --state NEW -p tcp --dport 993 -j ACCEPT iptables -A POSTROUTING -t nat -s 192.168.92.0/16 -m state --state NEW -p tcp --dport 993 -j MASQUERADE # DNS iptables -A INPUT -s 192.168.92.0/16 -m state --state NEW -p tcp --dport 53 -j ACCEPT iptables -A INPUT -s 192.168.92.0/16 -m state --state NEW -p udp --dport 53 -j ACCEPT # SMB/CIFS iptables -A INPUT -s 192.168.92.0/16 -m state --state NEW -p tcp --dport 137 -j ACCEPT iptables -A INPUT -s 192.168.92.0/16 -m state --state NEW -p tcp --dport 138 -j ACCEPT iptables -A INPUT -s 192.168.92.0/16 -m state --state NEW -p tcp --dport 139 -j ACCEPT iptables -A INPUT -s 192.168.92.0/16 -m state --state NEW -p tcp --dport 445 -j ACCEPT iptables -A INPUT -s 192.168.92.0/16 -m state --state NEW -p udp --dport 137 -j ACCEPT iptables -A INPUT -s 192.168.92.0/16 -m state --state NEW -p udp --dport 138 -j ACCEPT iptables -A INPUT -s 192.168.92.0/16 -m state --state NEW -p udp --dport 139 -j ACCEPT iptables -A INPUT -s 192.168.92.0/16 -m state --state NEW -p udp --dport 445 -j ACCEPT # SSH iptables -A INPUT -s 192.168.92.0/16 -m state --state NEW,ESTABLISHED,RELATED -p tcp --dport 22 -j ACCEPT iptables -A OUTPUT -d 192.168.92.0/16 -m state --state NEW,ESTABLISHED,RELATED -p tcp --dport 22 -j ACCEPT # DHCP iptables -A INPUT -s 192.168.92.0/16 -m state --state NEW -p udp --dport 67 -j ACCEPT iptables -A OUTPUT -d 192.168.92.0/16 -m state --state NEW -p udp --dport 67 -j ACCEPT # NTP iptables -A INPUT -s 192.168.92.0/16 -m state --state NEW -p udp --dport 123 -j ACCEPT # ICMP Echo-Request (ping) zulassen und beantworten iptables -A INPUT -m state --state NEW -p icmp --icmp-type echo-request -j ACCEPT # Default-Policies mit REJECT iptables -A INPUT -j MY_REJECT iptables -A OUTPUT -j MY_REJECT iptables -A FORWARD -j MY_REJECT # Forwarding/Routing echo "Aktiviere IP-Routing" echo 1 > /proc/sys/net/ipv4/ip_forward 2> /dev/null # SYN-Cookies echo 1 > /proc/sys/net/ipv4/tcp_syncookies 2> /dev/null # Stop Source-Routing for i in /proc/sys/net/ipv4/conf/*; do echo 0 > $i/accept_source_route 2> /dev/null; done # Stop Redirecting for i in /proc/sys/net/ipv4/conf/*; do echo 0 > $i/accept_redirects 2> /dev/null; done # Log Martians for i in /proc/sys/net/ipv4/conf/*; do echo 1 > $i/log_martians 2> /dev/null; done # BOOTP-Relaying ausschalten for i in /proc/sys/net/ipv4/conf/*; do echo 0 > $i/bootp_relay 2> /dev/null; done # Proxy-ARP ausschalten for i in /proc/sys/net/ipv4/conf/*; do echo 0 > $i/proxy_arp 2> /dev/null; done # Ungültige ICMP-Antworten ignorieren echo 1 > /proc/sys/net/ipv4/icmp_ignore_bogus_error_responses 2> /dev/null # ICMP Echo-Broadcasts ignorieren echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_broadcasts 2> /dev/null # Max. 500/Sekunde (5/Jiffie) senden echo 5 > /proc/sys/net/ipv4/icmp_ratelimit # Speicherallozierung und -timing für IP-De/-Fragmentierung echo 262144 > /proc/sys/net/ipv4/ipfrag_high_thresh echo 196608 > /proc/sys/net/ipv4/ipfrag_low_thresh echo 30 > /proc/sys/net/ipv4/ipfrag_time # TCP-FIN-Timeout zum Schutz vor DoS-Attacken setzen echo 30 > /proc/sys/net/ipv4/tcp_fin_timeout # Maximal 3 Antworten auf ein TCP-SYN echo 3 > /proc/sys/net/ipv4/tcp_retries1 # TCP-Pakete maximal 15x wiederholen echo 15 > /proc/sys/net/ipv4/tcp_retries2 ;; stop) echo "Stoppe IP-Paketfilter" # Tabelle flushen iptables -F iptables -t nat -F iptables -t mangle -F iptables -X iptables -t nat -X iptables -t mangle -X echo "Deaktiviere IP-Routing" echo 0 > /proc/sys/net/ipv4/ip_forward # Default-Policies setzen iptables -P INPUT ACCEPT iptables -P OUTPUT ACCEPT iptables -P FORWARD ACCEPT ;; status) echo "Tabelle filter" iptables -L -vn echo "Tabelle nat" iptables -t nat -L -vn echo "Tabelle mangle" iptables -t mangle -L -vn ;; *) echo "Fehlerhafter Aufruf" echo "Syntax: $0 {start|stop|status}" exit 1 ;; esac -------Datei "interfaces"-------- # The primary network interface allow-hotplug eth2 iface eth2 inet static address 192.168.92.11 netmask 255.255.255.0 network 192.168.92.0 broadcast 192.168.92.255 # dns-* options are implemented by the resolvconf package, if installed dns-nameservers 127.0.0.1 dns-search doham.de auto eth2 allow-hotplug eth2:0 iface eth2:0 inet static address 192.168.68.11 netmask 255.255.255.0 network 192.168.68.0 broadcast 192.168.68.255 # dns-* options are implemented by the resolvconf package, if installed dns-nameservers 127.0.0.1 dns-search doham.de auto eth2:0 auto dsl-provider iface dsl-provider inet ppp pre-up /sbin/ifconfig eth2 up # line maintained by pppoeconf provider dsl-provider #!/bin/bash # --------------------------------------------------------------------- # Linux-iptables-Firewallskript, Copyright (c) 2007 under the GPL # Autogenerated by iptables Generator v1.22 (c) 2002-2007 by Harald Bertram # Please visit http://harry.homelinux.org for new versions of # the iptables Generator (c). # # This Script was generated by request from: # rc5.dresden(a)gmx.net on: 2007-10-25 22:16.50 MET. # # If you have questions about the iptables Generator or about # your Firewall-Skript feel free to take a look at out website or # send me an E-Mail to webmaster(a)harry.homelinux.org. # # My special thanks are going to Lutz Heinrich (trinitywork at hotmail dot com) # who made lots of Beta-Testing and gave me lots of well qualified # Feedback that made me able to improve the iptables Generator. # -------------------------------------------------------------------- case "$1" in start) echo "Starte IP-Paketfilter" # iptables-Modul modprobe ip_tables # Connection-Tracking-Module modprobe ip_conntrack # Das Modul ip_conntrack_irc ist erst bei Kerneln >= 2.4.19 verfuegbar modprobe ip_conntrack_irc modprobe ip_conntrack_ftp # Tabelle flushen iptables -F iptables -t nat -F iptables -t mangle -F iptables -X iptables -t nat -X iptables -t mangle -X # Default-Policies setzen iptables -P INPUT DROP iptables -P OUTPUT DROP iptables -P FORWARD DROP # MY_REJECT-Chain iptables -N MY_REJECT # MY_REJECT fuellen iptables -A MY_REJECT -p tcp -m limit --limit 7200/h -j LOG --log-prefix "REJECT TCP " iptables -A MY_REJECT -p tcp -j REJECT --reject-with tcp-reset iptables -A MY_REJECT -p udp -m limit --limit 7200/h -j LOG --log-prefix "REJECT UDP " iptables -A MY_REJECT -p udp -j REJECT --reject-with icmp-port-unreachable iptables -A MY_REJECT -p icmp -m limit --limit 7200/h -j LOG --log-prefix "DROP ICMP " iptables -A MY_REJECT -p icmp -j DROP iptables -A MY_REJECT -m limit --limit 7200/h -j LOG --log-prefix "REJECT OTHER " iptables -A MY_REJECT -j REJECT --reject-with icmp-proto-unreachable # MY_DROP-Chain iptables -N MY_DROP iptables -A MY_DROP -m limit --limit 7200/h -j LOG --log-prefix "PORTSCAN DROP " iptables -A MY_DROP -j DROP # Alle verworfenen Pakete protokollieren iptables -A INPUT -m state --state INVALID -m limit --limit 7200/h -j LOG --log-prefix "INPUT INVALID " iptables -A OUTPUT -m state --state INVALID -m limit --limit 7200/h -j LOG --log-prefix "OUTPUT INVALID " iptables -A FORWARD -m state --state INVALID -m limit --limit 7200/h -j LOG --log-prefix "FORWARD INVALID " # Korrupte Pakete zurueckweisen iptables -A INPUT -m state --state INVALID -j DROP iptables -A OUTPUT -m state --state INVALID -j DROP iptables -A FORWARD -m state --state INVALID -j DROP # Stealth Scans etc. DROPpen # Keine Flags gesetzt iptables -A INPUT -p tcp --tcp-flags ALL NONE -j MY_DROP iptables -A FORWARD -p tcp --tcp-flags ALL NONE -j MY_DROP # SYN und FIN gesetzt iptables -A INPUT -p tcp --tcp-flags SYN,FIN SYN,FIN -j MY_DROP iptables -A FORWARD -p tcp --tcp-flags SYN,FIN SYN,FIN -j MY_DROP # SYN und RST gleichzeitig gesetzt iptables -A INPUT -p tcp --tcp-flags SYN,RST SYN,RST -j MY_DROP iptables -A FORWARD -p tcp --tcp-flags SYN,RST SYN,RST -j MY_DROP # FIN und RST gleichzeitig gesetzt iptables -A INPUT -p tcp --tcp-flags FIN,RST FIN,RST -j MY_DROP iptables -A FORWARD -p tcp --tcp-flags FIN,RST FIN,RST -j MY_DROP # FIN ohne ACK iptables -A INPUT -p tcp --tcp-flags ACK,FIN FIN -j MY_DROP iptables -A FORWARD -p tcp --tcp-flags ACK,FIN FIN -j MY_DROP # PSH ohne ACK iptables -A INPUT -p tcp --tcp-flags ACK,PSH PSH -j MY_DROP iptables -A FORWARD -p tcp --tcp-flags ACK,PSH PSH -j MY_DROP # URG ohne ACK iptables -A INPUT -p tcp --tcp-flags ACK,URG URG -j MY_DROP iptables -A FORWARD -p tcp --tcp-flags ACK,URG URG -j MY_DROP # Loopback-Netzwerk-Kommunikation zulassen iptables -A INPUT -i lo -j ACCEPT iptables -A OUTPUT -o lo -j ACCEPT # Maximum Segment Size (MSS) für das Forwarding an PMTU anpassen iptables -A FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu # Connection-Tracking aktivieren iptables -A OUTPUT -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT # iptables -A FORWARD -i ! ra0 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT iptables -A FORWARD -i ! ppp0 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT # LAN-Zugriff auf die Netzwerkschnittstelle # iptables -A INPUT -m state --state NEW -i eth2 -j ACCEPT # HTTP # iptables -A INPUT -i eth2 -m state --state NEW -p tcp --dport 3128 -j ACCEPT iptables -A INPUT -s 192.168.92.0/16 -m state --state NEW -p tcp --dport 3128 -j ACCEPT iptables -A PREROUTING -t nat -s 192.168.92.0/16 -p tcp --dport 80 -j REDIRECT --to-ports 3128 # HTTPS # iptables -A INPUT -i ra0 -m state --state NEW -p tcp --dport 443 -j ACCEPT # iptables -A INPUT -i eth2 -m state --state NEW -p tcp --dport 443 -j ACCEPT iptables -A POSTROUTING -t nat -s 192.168.92.0/16 -m state --state NEW -p tcp --dport 443 -j MASQUERADE # SMTP # iptables -A INPUT -i eth2 -m state --state NEW -p tcp --dport 25 -j ACCEPT iptables -A POSTROUTING -t nat -s 192.168.92.0/16 -m state --state NEW -p tcp --dport 25 -j MASQUERADE # SMTPS # iptables -A INPUT -i eth2 -m state --state NEW -p tcp --dport 465 -j ACCEPT iptables -A POSTROUTING -t nat -s 192.168.92.0/16 -m state --state NEW -p tcp --dport 465 -j MASQUERADE # POP3 # iptables -A INPUT -i ra0 -m state --state NEW -p tcp --dport 110 -j ACCEPT # POP3S # iptables -A INPUT -i ra0 -m state --state NEW -p tcp --dport 995 -j ACCEPT # IMAP # iptables -A INPUT -i ra0 -m state --state NEW -p tcp --dport 143 -j ACCEPT # IMAPS # iptables -A INPUT -i ra0 -m state --state NEW -p tcp --dport 993 -j ACCEPT # iptables -A INPUT -i eth2 -m state --state NEW -p tcp --dport 993 -j ACCEPT iptables -A INPUT -s 192.168.92.0/16 -m state --state NEW -p tcp --dport 993 -j ACCEPT iptables -A POSTROUTING -t nat -s 192.168.92.0/16 -m state --state NEW -p tcp --dport 993 -j MASQUERADE # NNTP # iptables -A INPUT -i ra0 -m state --state NEW -p tcp --dport 119 -j ACCEPT # iptables -A INPUT -i eth2 -m state --state NEW -p tcp --dport 119 -j ACCEPT # DNS # iptables -A INPUT -i eth2 -m state --state NEW -p tcp --dport 53 -j ACCEPT # iptables -A INPUT -i eth2 -m state --state NEW -p udp --dport 53 -j ACCEPT iptables -A INPUT -s 192.168.92.0/16 -m state --state NEW -p tcp --dport 53 -j ACCEPT iptables -A INPUT -s 192.168.92.0/16 -m state --state NEW -p udp --dport 53 -j ACCEPT # FTP #iptables -A INPUT -i eth2 -m state --state NEW -p tcp --dport 21 -j ACCEPT #iptables -A OUTPUT -o ra0 -m state --state NEW -p tcp --dport 21 -j ACCEPT #iptables -A INPUT -i eth2 -m state --state NEW -p tcp --dport 21 -j ACCEPT #iptables -A OUTPUT -o ra0 -m state --state NEW -p tcp --dport 21 -j ACCEPT # SMB/CIFS # iptables -A INPUT -i eth2 -m state --state NEW -p tcp --dport 137 -j ACCEPT # iptables -A INPUT -i eth2 -m state --state NEW -p tcp --dport 138 -j ACCEPT # iptables -A INPUT -i eth2 -m state --state NEW -p tcp --dport 139 -j ACCEPT # iptables -A INPUT -i eth2 -m state --state NEW -p tcp --dport 445 -j ACCEPT # iptables -A INPUT -i eth2 -m state --state NEW -p udp --dport 137 -j ACCEPT # iptables -A INPUT -i eth2 -m state --state NEW -p udp --dport 138 -j ACCEPT # iptables -A INPUT -i eth2 -m state --state NEW -p udp --dport 139 -j ACCEPT # iptables -A INPUT -i eth2 -m state --state NEW -p udp --dport 445 -j ACCEPT iptables -A INPUT -s 192.168.92.0/16 -m state --state NEW -p tcp --dport 137 -j ACCEPT iptables -A INPUT -s 192.168.92.0/16 -m state --state NEW -p tcp --dport 138 -j ACCEPT iptables -A INPUT -s 192.168.92.0/16 -m state --state NEW -p tcp --dport 139 -j ACCEPT iptables -A INPUT -s 192.168.92.0/16 -m state --state NEW -p tcp --dport 445 -j ACCEPT iptables -A INPUT -s 192.168.92.0/16 -m state --state NEW -p udp --dport 137 -j ACCEPT iptables -A INPUT -s 192.168.92.0/16 -m state --state NEW -p udp --dport 138 -j ACCEPT iptables -A INPUT -s 192.168.92.0/16 -m state --state NEW -p udp --dport 139 -j ACCEPT iptables -A INPUT -s 192.168.92.0/16 -m state --state NEW -p udp --dport 445 -j ACCEPT # SSH # iptables -A INPUT -i ra0 -m state --state NEW -p tcp --dport 22 -j ACCEPT # iptables -A INPUT -i eth2 -m state --state NEW,ESTABLISHED,RELATED -p tcp --dport 22 -j ACCEPT # iptables -A OUTPUT -o eth2 -m state --state NEW,ESTABLISHED,RELATED -p tcp --dport 22 -j ACCEPT iptables -A INPUT -s 192.168.92.0/16 -m state --state NEW,ESTABLISHED,RELATED -p tcp --dport 22 -j ACCEPT iptables -A OUTPUT -d 192.168.92.0/16 -m state --state NEW,ESTABLISHED,RELATED -p tcp --dport 22 -j ACCEPT # DHCP # iptables -A INPUT -i eth2 -m state --state NEW -p udp --dport 67 -j ACCEPT # iptables -A OUTPUT -o eth2 -m state --state NEW -p udp --dport 67 -j ACCEPT iptables -A INPUT -s 192.168.92.0/16 -m state --state NEW -p udp --dport 67 -j ACCEPT iptables -A OUTPUT -d 192.168.92.0/16 -m state --state NEW -p udp --dport 67 -j ACCEPT # MYSQL # iptables -A INPUT -i ra0 -m state --state NEW -p tcp --dport 3306 -j ACCEPT # NTP # iptables -A INPUT -i ra0 -m state --state NEW -p udp --dport 123 -j ACCEPT # iptables -A INPUT -i eth2 -m state --state NEW -p udp --dport 123 -j ACCEPT iptables -A INPUT -s 192.168.92.0/16 -m state --state NEW -p udp --dport 123 -j ACCEPT # IRC # iptables -A INPUT -i ra0 -m state --state NEW -p tcp --dport 6667 -j ACCEPT # EDONKEY # iptables -A INPUT -i ra0 -m state --state NEW -p tcp --dport 4661 -j ACCEPT # iptables -A INPUT -i ra0 -m state --state NEW -p tcp --dport 4662 -j ACCEPT # iptables -A INPUT -i ra0 -m state --state NEW -p tcp --dport 4663 -j ACCEPT # iptables -A INPUT -i ra0 -m state --state NEW -p udp --dport 4665 -j ACCEPT # TELNET # iptables -A INPUT -i ra0 -m state --state NEW -p tcp --dport 23 -j ACCEPT # BZFLAG # iptables -A INPUT -i ra0 -m state --state NEW -p tcp --dport 5155 -j ACCEPT # iptables -A INPUT -i ra0 -m state --state NEW -p udp --dport 5155 -j ACCEPT # iptables -A INPUT -i ra0 -m state --state NEW -p tcp --dport 5156 -j ACCEPT # iptables -A INPUT -i ra0 -m state --state NEW -p udp --dport 5156 -j ACCEPT # HALF-LIFE # iptables -A INPUT -i ra0 -m state --state NEW -p tcp --dport 6000:6003 -j ACCEPT # iptables -A INPUT -i ra0 -m state --state NEW -p tcp --dport 7001:7002 -j ACCEPT # iptables -A INPUT -i ra0 -m state --state NEW -p udp --dport 27005 -j ACCEPT # iptables -A INPUT -i ra0 -m state --state NEW -p udp --dport 27010 -j ACCEPT # iptables -A INPUT -i ra0 -m state --state NEW -p udp --dport 27015:27016 -j ACCEPT # IPSEC # iptables -A INPUT -i ra0 -p 50 -j ACCEPT # iptables -A INPUT -i ra0 -p 51 -j ACCEPT # iptables -A INPUT -i ra0 -m state --state NEW -p udp --dport 500 -j ACCEPT # OPENVPN_V1 # iptables -A INPUT -i ra0 -m state --state NEW -p udp --dport 5000 -j ACCEPT # OPENVPN_V2 # iptables -A INPUT -i ra0 -m state --state NEW -p udp --dport 1194 -j ACCEPT # ICMP Echo-Request (ping) zulassen und beantworten iptables -A INPUT -m state --state NEW -p icmp --icmp-type echo-request -j ACCEPT # IP-Adresse des LAN-Interfaces ermitteln # LAN_IP=$(ifconfig eth2 | head -n 2 | tail -n 1 | cut -d: -f2 | cut -d" " -f 1) # NAT fuer HTTP # iptables -t nat -A PREROUTING -i ra0 -p tcp --dport 80 -j DNAT --to-destination # iptables -A FORWARD -i ra0 -m state --state NEW -p tcp -d --dport 80 -j ACCEPT # Default-Policies mit REJECT iptables -A INPUT -j MY_REJECT iptables -A OUTPUT -j MY_REJECT iptables -A FORWARD -j MY_REJECT # Forwarding/Routing echo "Aktiviere IP-Routing" echo 1 > /proc/sys/net/ipv4/ip_forward 2> /dev/null # Masquerading # iptables -t nat -A POSTROUTING -o ra0 -j MASQUERADE # iptables -t nat -A POSTROUTING -o eth2 -j MASQUERADE # SYN-Cookies echo 1 > /proc/sys/net/ipv4/tcp_syncookies 2> /dev/null # Stop Source-Routing for i in /proc/sys/net/ipv4/conf/*; do echo 0 > $i/accept_source_route 2> /dev/null; done # Stop Redirecting for i in /proc/sys/net/ipv4/conf/*; do echo 0 > $i/accept_redirects 2> /dev/null; done # Reverse-Path-Filter # Auskommentiert, da IPSEC mit RP_Filter nicht funktioniert! # for i in /proc/sys/net/ipv4/conf/*; do echo 2 > $i/rp_filter 2> /dev/null; done # Log Martians for i in /proc/sys/net/ipv4/conf/*; do echo 1 > $i/log_martians 2> /dev/null; done # BOOTP-Relaying ausschalten for i in /proc/sys/net/ipv4/conf/*; do echo 0 > $i/bootp_relay 2> /dev/null; done # Proxy-ARP ausschalten for i in /proc/sys/net/ipv4/conf/*; do echo 0 > $i/proxy_arp 2> /dev/null; done # Ungültige ICMP-Antworten ignorieren echo 1 > /proc/sys/net/ipv4/icmp_ignore_bogus_error_responses 2> /dev/null # ICMP Echo-Broadcasts ignorieren echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_broadcasts 2> /dev/null # Max. 500/Sekunde (5/Jiffie) senden echo 5 > /proc/sys/net/ipv4/icmp_ratelimit # Speicherallozierung und -timing für IP-De/-Fragmentierung echo 262144 > /proc/sys/net/ipv4/ipfrag_high_thresh echo 196608 > /proc/sys/net/ipv4/ipfrag_low_thresh echo 30 > /proc/sys/net/ipv4/ipfrag_time # TCP-FIN-Timeout zum Schutz vor DoS-Attacken setzen echo 30 > /proc/sys/net/ipv4/tcp_fin_timeout # Maximal 3 Antworten auf ein TCP-SYN echo 3 > /proc/sys/net/ipv4/tcp_retries1 # TCP-Pakete maximal 15x wiederholen echo 15 > /proc/sys/net/ipv4/tcp_retries2 ;; stop) echo "Stoppe IP-Paketfilter" # Tabelle flushen iptables -F iptables -t nat -F iptables -t mangle -F iptables -X iptables -t nat -X iptables -t mangle -X echo "Deaktiviere IP-Routing" echo 0 > /proc/sys/net/ipv4/ip_forward # Default-Policies setzen iptables -P INPUT ACCEPT iptables -P OUTPUT ACCEPT iptables -P FORWARD ACCEPT ;; status) echo "Tabelle filter" iptables -L -vn echo "Tabelle nat" iptables -t nat -L -vn echo "Tabelle mangle" iptables -t mangle -L -vn ;; *) echo "Fehlerhafter Aufruf" echo "Syntax: $0 {start|stop|status}" exit 1 ;; esac

3 4

2024

2023

2022

2021

2020

2019

2018

2017

2016

2015

2014

2013

2012

2011

2010

2009

2008

2007

2006

2005

2004

2003

2002

2001

2000

1999

Lug-dd December 2009