gelöst: Re: Routing Netzwerk

2 Dec 2009

      Hallo an alle
Ich habe alle meine Problemchen gelöst und möchte der Vollständigkeit 
halber eine Zusammenfassung geben
Das Hauptproblem war die Windowsbüchse in Wohnung eins.
Darin sind 2 Netzwerkkarten. Eine für das DSL-Modem und eine für das 
interne Netz. Der Netzwerkkarte für das DSL-Modem war keine IP 
zugeordnet (braucht ja auch nicht).
Windows hat (aus Gründen, die ich nicht verstehe) immer alle 
Verbindungsversuche auf die Intranetkarte abgeblockt und wie ich 
feststellen musste, stattdessen versucht über die unkonfigurierte 
"Modemkarte" mit meinem Server zu kommunizieren. Erkennbar war nur, dass 
der Einwahldialog vom DSL aufpoppte.
Erst nachdem ich dieser Karte eine IP zugewiesen habe, war ein Ping möglich.
Die Firewall habe ich jetzt richtig konfiguriert (ftp fehlt noch) und 
möchte auch hier das Ergebnis kurz anhängen:
@Christian
Das Masquerading schalte ich nur für den gewünschten Port frei und nicht 
für alle. Das macht mehr Arbeit verspricht aber einen höheren 
Schwierigkeitsgrad für Ausbrecher und nach Hause Telefonierer.
Das gibt dann einen derartige Zeile:
iptables -A POSTROUTING -t nat -s 192.168.92.0/24 -m state --state NEW 
-p tcp --dport 443 -j MASQUERADE
Für alle Neugierigen habe ich noch die komplette Konfigurationsdatei der 
Firewall angehängt.
Als Quelle für Infos hat mir am besten geholfen:
http://www.pro-linux.de/t_netzwerk/iptables.html
http://www.pro-linux.de/t_netzwerk/routing.html
MfG
Andreas
Andreas Oettel schrieb:
...
Hallo an alle,
ich habe ein kleines Problem, wo ich mittlerweile nicht mehr weiß wonach 
 ich im Google suchen soll.
Ich habe hier eine Netzwerk das 2 Wohnungen miteinander verbindet.
Wohnung 1
darin ist ein Switch,
an dem hängt ein Rechner mit der IP 192.168.68.1
und ein DSL-Modem
Wohnung 2
darin ist ein Switch,
an dem hängt mein Server (Router, Firewall, Datenspeicher) mit _einer_ 
Netzwerkkarte und _zwei_ IP's (die erste ist die 192.168.92.11 für ein 
Wohnungsinternes Netzwerk und die zweite ist die 192.168.68.11 um den 
Rechner aus Wohnung 1 anzubinden)
Dieser Rechner wählt sich auch mittels dem DSL-Modem in Wohnung 1 in die 
bunte weite Netzwelt ein.
Ich habe iptables (siehe Abschnitt unten "firewall") soweit 
konfiguriert, dass ich von Wohnung 2 aus auf alle Dienste des Servers 
(IMAP, SQUID, dnsmasq usw.) und auf das Internet zugreifen kann.
Jetzt möchte ich Wohnung 1 auch über den Server routen und (nur) das 
Internet und die dafür notwendigen Dienste zur Verfügung stellen.
Ich scheitere aber schon mal daran, dass ich nicht mal einen Ping 
hinbekomme. Es kommt immer Netzwerk nicht erreichbar.
Kann mir jemand ein Tip geben, wo ich suchen muss?
Habe ich hier ein Problem mit der Serverkonfiguration oder evtl. den 
beiden Switchen?
Die Switche sind der übliche Endkundenkram. Kabel einstecken ist alles 
was man bei den Dingern machen kann.
Danke für die Hilfe
Andreas
Anhang:
Abschnitt
  "firewall" (gekürzt)
  "interfaces"
Datei
  "firewall" (ungekürzt)
-------Datei "firewall"----------
case "$1" in
  start)
    echo "Starte IP-Paketfilter"
# iptables-Modul
modprobe ip_tables
# Connection-Tracking-Module
modprobe ip_conntrack
# Das Modul ip_conntrack_irc ist erst bei Kerneln >= 2.4.19
# verfuegbar
modprobe ip_conntrack_irc
modprobe ip_conntrack_ftp

# Tabelle flushen
iptables -F
iptables -t nat -F
iptables -t mangle -F
iptables -X
iptables -t nat -X
iptables -t mangle -X

# Default-Policies setzen
iptables -P INPUT DROP
iptables -P OUTPUT DROP
iptables -P FORWARD DROP

# MY_REJECT-Chain
iptables -N MY_REJECT

# MY_REJECT fuellen
iptables -A MY_REJECT -p tcp -m limit --limit 7200/h -j LOG 

--log-prefix "REJECT TCP "
iptables -A MY_REJECT -p tcp -j REJECT --reject-with tcp-reset
iptables -A MY_REJECT -p udp -m limit --limit 7200/h -j LOG 

--log-prefix "REJECT UDP "
iptables -A MY_REJECT -p udp -j REJECT --reject-with 

icmp-port-unreachable
iptables -A MY_REJECT -p icmp -m limit --limit 7200/h -j LOG 

--log-prefix "DROP ICMP "
iptables -A MY_REJECT -p icmp -j DROP
iptables -A MY_REJECT -m limit --limit 7200/h -j LOG --log-prefix 

"REJECT OTHER "
iptables -A MY_REJECT -j REJECT --reject-with icmp-proto-unreachable

# MY_DROP-Chain
iptables -N MY_DROP
iptables -A MY_DROP -m limit --limit 7200/h -j LOG --log-prefix 

"PORTSCAN DROP "
iptables -A MY_DROP -j DROP

# Alle verworfenen Pakete protokollieren
iptables -A INPUT -m state --state INVALID -m limit --limit 7200/h 

-j LOG --log-prefix "INPUT INVALID "
iptables -A OUTPUT -m state --state INVALID -m limit --limit 7200/h 

-j LOG --log-prefix "OUTPUT INVALID "
iptables -A FORWARD -m state --state INVALID -m limit --limit 7200/h 

-j LOG --log-prefix "FORWARD INVALID "
# Korrupte Pakete zurueckweisen
iptables -A INPUT -m state --state INVALID -j DROP
iptables -A OUTPUT -m state --state INVALID -j DROP
iptables -A FORWARD -m state --state INVALID -j DROP

# Stealth Scans etc. DROPpen
# Keine Flags gesetzt
iptables -A INPUT -p tcp --tcp-flags ALL NONE -j MY_DROP
iptables -A FORWARD -p tcp --tcp-flags ALL NONE -j MY_DROP

# SYN und FIN gesetzt
iptables -A INPUT -p tcp --tcp-flags SYN,FIN SYN,FIN -j MY_DROP
iptables -A FORWARD -p tcp --tcp-flags SYN,FIN SYN,FIN -j MY_DROP

# SYN und RST gleichzeitig gesetzt
iptables -A INPUT -p tcp --tcp-flags SYN,RST SYN,RST -j MY_DROP
iptables -A FORWARD -p tcp --tcp-flags SYN,RST SYN,RST -j MY_DROP

# FIN und RST gleichzeitig gesetzt
iptables -A INPUT -p tcp --tcp-flags FIN,RST FIN,RST -j MY_DROP
iptables -A FORWARD -p tcp --tcp-flags FIN,RST FIN,RST -j MY_DROP

# FIN ohne ACK
iptables -A INPUT -p tcp --tcp-flags ACK,FIN FIN -j MY_DROP
iptables -A FORWARD -p tcp --tcp-flags ACK,FIN FIN -j MY_DROP

# PSH ohne ACK
iptables -A INPUT -p tcp --tcp-flags ACK,PSH PSH -j MY_DROP
iptables -A FORWARD -p tcp --tcp-flags ACK,PSH PSH -j MY_DROP

# URG ohne ACK
iptables -A INPUT -p tcp --tcp-flags ACK,URG URG -j MY_DROP
iptables -A FORWARD -p tcp --tcp-flags ACK,URG URG -j MY_DROP

# Loopback-Netzwerk-Kommunikation zulassen
iptables -A INPUT -i lo -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT

# Maximum Segment Size (MSS) für das Forwarding an PMTU anpassen
iptables -A FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS 

--clamp-mss-to-pmtu
# Connection-Tracking aktivieren
iptables -A OUTPUT -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT

# iptables -A FORWARD -i ! ra0 -m state --state 

NEW,ESTABLISHED,RELATED -j ACCEPT
iptables -A FORWARD -i ! ppp0 -m state --state 

NEW,ESTABLISHED,RELATED -j ACCEPT
iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

# HTTP
iptables -A INPUT -s 192.168.92.0/16 -m state --state NEW -p tcp 

--dport 3128 -j ACCEPT
iptables -A PREROUTING -t nat -s 192.168.92.0/16 -p tcp --dport 80 

-j REDIRECT --to-ports 3128
# HTTPS
iptables -A POSTROUTING -t nat -s 192.168.92.0/16 -m state --state 

NEW -p tcp --dport 443 -j MASQUERADE
# SMTP
iptables -A POSTROUTING -t nat -s 192.168.92.0/16 -m state --state 

NEW -p tcp --dport 25 -j MASQUERADE
# SMTPS
iptables -A POSTROUTING -t nat -s 192.168.92.0/16 -m state --state 

NEW -p tcp --dport 465 -j MASQUERADE
# IMAPS
iptables -A INPUT -s 192.168.92.0/16 -m state --state NEW -p tcp 

--dport 993 -j ACCEPT
    iptables -A POSTROUTING -t nat -s 192.168.92.0/16 -m state --state 
NEW -p tcp --dport 993 -j MASQUERADE
# DNS
iptables -A INPUT -s 192.168.92.0/16 -m state --state NEW -p tcp 

--dport 53 -j ACCEPT
    iptables -A INPUT -s 192.168.92.0/16 -m state --state NEW -p udp 
--dport 53 -j ACCEPT
# SMB/CIFS
iptables -A INPUT -s 192.168.92.0/16 -m state --state NEW -p tcp 

--dport 137 -j ACCEPT
    iptables -A INPUT -s 192.168.92.0/16 -m state --state NEW -p tcp 
--dport 138 -j ACCEPT
    iptables -A INPUT -s 192.168.92.0/16 -m state --state NEW -p tcp 
--dport 139 -j ACCEPT
    iptables -A INPUT -s 192.168.92.0/16 -m state --state NEW -p tcp 
--dport 445 -j ACCEPT
    iptables -A INPUT -s 192.168.92.0/16 -m state --state NEW -p udp 
--dport 137 -j ACCEPT
    iptables -A INPUT -s 192.168.92.0/16 -m state --state NEW -p udp 
--dport 138 -j ACCEPT
    iptables -A INPUT -s 192.168.92.0/16 -m state --state NEW -p udp 
--dport 139 -j ACCEPT
    iptables -A INPUT -s 192.168.92.0/16 -m state --state NEW -p udp 
--dport 445 -j ACCEPT
# SSH
iptables -A INPUT -s 192.168.92.0/16 -m state --state 

NEW,ESTABLISHED,RELATED -p tcp --dport 22 -j ACCEPT
    iptables -A OUTPUT -d 192.168.92.0/16 -m state --state 
NEW,ESTABLISHED,RELATED -p tcp --dport 22 -j ACCEPT
# DHCP
iptables -A INPUT -s 192.168.92.0/16 -m state --state NEW -p udp 

--dport 67 -j ACCEPT
    iptables -A OUTPUT -d 192.168.92.0/16 -m state --state NEW -p udp 
--dport 67 -j ACCEPT
# NTP
iptables -A INPUT -s 192.168.92.0/16 -m state --state NEW -p udp 

--dport 123 -j ACCEPT
# ICMP Echo-Request (ping) zulassen und beantworten
iptables -A INPUT -m state --state NEW -p icmp --icmp-type 

echo-request -j ACCEPT
# Default-Policies mit REJECT
iptables -A INPUT -j MY_REJECT
iptables -A OUTPUT -j MY_REJECT
iptables -A FORWARD -j MY_REJECT

# Forwarding/Routing
echo "Aktiviere IP-Routing"
echo 1 > /proc/sys/net/ipv4/ip_forward 2> /dev/null

# SYN-Cookies
echo 1 > /proc/sys/net/ipv4/tcp_syncookies 2> /dev/null

# Stop Source-Routing
for i in /proc/sys/net/ipv4/conf/*; do echo 0 > 

$i/accept_source_route 2> /dev/null; done
# Stop Redirecting
for i in /proc/sys/net/ipv4/conf/*; do echo 0 > $i/accept_redirects 

2> /dev/null; done
# Log Martians
for i in /proc/sys/net/ipv4/conf/*; do echo 1 > $i/log_martians 2> 

/dev/null; done
# BOOTP-Relaying ausschalten
for i in /proc/sys/net/ipv4/conf/*; do echo 0 > $i/bootp_relay 2> 

/dev/null; done
# Proxy-ARP ausschalten
for i in /proc/sys/net/ipv4/conf/*; do echo 0 > $i/proxy_arp 2> 

/dev/null; done
# Ungültige ICMP-Antworten ignorieren
echo 1 > /proc/sys/net/ipv4/icmp_ignore_bogus_error_responses 2> 

/dev/null
# ICMP Echo-Broadcasts ignorieren
echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_broadcasts 2> /dev/null

# Max. 500/Sekunde (5/Jiffie) senden
echo 5 > /proc/sys/net/ipv4/icmp_ratelimit

# Speicherallozierung und -timing für IP-De/-Fragmentierung
echo 262144 > /proc/sys/net/ipv4/ipfrag_high_thresh
echo 196608 > /proc/sys/net/ipv4/ipfrag_low_thresh
echo 30 > /proc/sys/net/ipv4/ipfrag_time

# TCP-FIN-Timeout zum Schutz vor DoS-Attacken setzen
echo 30 > /proc/sys/net/ipv4/tcp_fin_timeout

# Maximal 3 Antworten auf ein TCP-SYN
echo 3 > /proc/sys/net/ipv4/tcp_retries1

# TCP-Pakete maximal 15x wiederholen
echo 15 > /proc/sys/net/ipv4/tcp_retries2

;;

stop)
    echo "Stoppe IP-Paketfilter"
    # Tabelle flushen
    iptables -F
    iptables -t nat -F
    iptables -t mangle -F
    iptables -X
    iptables -t nat -X
    iptables -t mangle -X
    echo "Deaktiviere IP-Routing"
    echo 0 > /proc/sys/net/ipv4/ip_forward
# Default-Policies setzen
iptables -P INPUT ACCEPT
iptables -P OUTPUT ACCEPT
iptables -P FORWARD ACCEPT
;;

status)
    echo "Tabelle filter"
    iptables -L -vn
    echo "Tabelle nat"
    iptables -t nat -L -vn
    echo "Tabelle mangle"
    iptables -t mangle -L -vn
    ;;
*)
    echo "Fehlerhafter Aufruf"
    echo "Syntax: $0 {start|stop|status}"
    exit 1
    ;;
esac
-------Datei "interfaces"--------
# The primary network interface
allow-hotplug eth2
iface eth2 inet static
    address 192.168.92.11
    netmask 255.255.255.0
    network 192.168.92.0
    broadcast 192.168.92.255
    # dns-* options are implemented by the resolvconf package, if installed
    dns-nameservers 127.0.0.1
    dns-search doham.de
auto eth2
allow-hotplug eth2:0
iface eth2:0 inet static
    address 192.168.68.11
    netmask 255.255.255.0
    network 192.168.68.0
    broadcast 192.168.68.255
    # dns-* options are implemented by the resolvconf package, if installed
    dns-nameservers 127.0.0.1
    dns-search doham.de
auto eth2:0
auto dsl-provider
iface dsl-provider inet ppp
pre-up /sbin/ifconfig eth2 up # line maintained by pppoeconf
provider dsl-provider

Lug-dd maillist  -  Lug-dd@mailman.schlittermann.de
https://ssl.schlittermann.de/mailman/listinfo/lug-dd
#!/bin/bash
# ---------------------------------------------------------------------
# Linux-iptables-Firewallskript, Copyright (c) 2007 under the GPL
# Autogenerated by iptables Generator v1.22 (c) 2002-2007 by Harald Bertram 
# Please visit http://harry.homelinux.org for new versions of
# the iptables Generator (c).
# 
# This Script was generated by request from:
# rc5.dresden@gmx.net on: 2007-10-25 22:16.50 MET.
# 
# If you have questions about the iptables Generator or about
# your Firewall-Skript feel free to take a look at out website or
# send me an E-Mail to webmaster@harry.homelinux.org.
# 
# My special thanks are going to Lutz Heinrich (trinitywork at hotmail dot com)
# who made lots of Beta-Testing and gave me lots of well qualified
# Feedback that made me able to improve the iptables Generator.
# --------------------------------------------------------------------
case "$1" in
  start)
    echo "Starte IP-Paketfilter"
# iptables-Modul
    modprobe ip_tables
    # Connection-Tracking-Module
    modprobe ip_conntrack
    # Das Modul ip_conntrack_irc ist erst bei Kerneln >= 2.4.19 verfuegbar
    modprobe ip_conntrack_irc
    modprobe ip_conntrack_ftp
# Tabelle flushen
    iptables -F
    iptables -t nat -F
    iptables -t mangle -F
    iptables -X
    iptables -t nat -X
    iptables -t mangle -X
# Default-Policies setzen
    iptables -P INPUT DROP
    iptables -P OUTPUT DROP
    iptables -P FORWARD DROP
# MY_REJECT-Chain
    iptables -N MY_REJECT
# MY_REJECT fuellen
    iptables -A MY_REJECT -p tcp -m limit --limit 7200/h -j LOG --log-prefix "REJECT TCP "
    iptables -A MY_REJECT -p tcp -j REJECT --reject-with tcp-reset
    iptables -A MY_REJECT -p udp -m limit --limit 7200/h -j LOG --log-prefix "REJECT UDP "
    iptables -A MY_REJECT -p udp -j REJECT --reject-with icmp-port-unreachable
    iptables -A MY_REJECT -p icmp -m limit --limit 7200/h -j LOG --log-prefix "DROP ICMP "
    iptables -A MY_REJECT -p icmp -j DROP
    iptables -A MY_REJECT -m limit --limit 7200/h -j LOG --log-prefix "REJECT OTHER "
    iptables -A MY_REJECT -j REJECT --reject-with icmp-proto-unreachable
# MY_DROP-Chain
    iptables -N MY_DROP
    iptables -A MY_DROP -m limit --limit 7200/h -j LOG --log-prefix "PORTSCAN DROP "
    iptables -A MY_DROP -j DROP
# Alle verworfenen Pakete protokollieren
    iptables -A INPUT -m state --state INVALID -m limit --limit 7200/h -j LOG --log-prefix "INPUT INVALID "
    iptables -A OUTPUT -m state --state INVALID -m limit --limit 7200/h -j LOG --log-prefix "OUTPUT INVALID "
    iptables -A FORWARD -m state --state INVALID -m limit --limit 7200/h -j LOG --log-prefix "FORWARD INVALID "
# Korrupte Pakete zurueckweisen
    iptables -A INPUT -m state --state INVALID -j DROP
    iptables -A OUTPUT -m state --state INVALID -j DROP
    iptables -A FORWARD -m state --state INVALID -j DROP
# Stealth Scans etc. DROPpen
    # Keine Flags gesetzt
    iptables -A INPUT -p tcp --tcp-flags ALL NONE -j MY_DROP
    iptables -A FORWARD -p tcp --tcp-flags ALL NONE -j MY_DROP
# SYN und FIN gesetzt
    iptables -A INPUT -p tcp --tcp-flags SYN,FIN SYN,FIN -j MY_DROP
    iptables -A FORWARD -p tcp --tcp-flags SYN,FIN SYN,FIN -j MY_DROP
# SYN und RST gleichzeitig gesetzt
    iptables -A INPUT -p tcp --tcp-flags SYN,RST SYN,RST -j MY_DROP
    iptables -A FORWARD -p tcp --tcp-flags SYN,RST SYN,RST -j MY_DROP
# FIN und RST gleichzeitig gesetzt
    iptables -A INPUT -p tcp --tcp-flags FIN,RST FIN,RST -j MY_DROP
    iptables -A FORWARD -p tcp --tcp-flags FIN,RST FIN,RST -j MY_DROP
# FIN ohne ACK
    iptables -A INPUT -p tcp --tcp-flags ACK,FIN FIN -j MY_DROP
    iptables -A FORWARD -p tcp --tcp-flags ACK,FIN FIN -j MY_DROP
# PSH ohne ACK
    iptables -A INPUT -p tcp --tcp-flags ACK,PSH PSH -j MY_DROP
    iptables -A FORWARD -p tcp --tcp-flags ACK,PSH PSH -j MY_DROP
# URG ohne ACK
    iptables -A INPUT -p tcp --tcp-flags ACK,URG URG -j MY_DROP
    iptables -A FORWARD -p tcp --tcp-flags ACK,URG URG -j MY_DROP
# Loopback-Netzwerk-Kommunikation zulassen
    iptables -A INPUT -i lo -j ACCEPT
    iptables -A OUTPUT -o lo -j ACCEPT
# Maximum Segment Size (MSS) für das Forwarding an PMTU anpassen
    iptables -A FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu
# Connection-Tracking aktivieren
    iptables -A OUTPUT -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
    iptables -A FORWARD -i ! ppp0 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
    iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT
    iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
# Protokolle freigeben
    # HTTP
    iptables -A INPUT -i eth2 -s 192.168.92.0/24 -m state --state NEW -p tcp --dport 3128 -j ACCEPT
    iptables -A INPUT -i eth2 -s 192.168.68.0/24 -m state --state NEW -p tcp --dport 3128 -j ACCEPT
# HTTPS
    iptables -A POSTROUTING -t nat -s 192.168.92.0/24 -m state --state NEW -p tcp --dport 443 -j MASQUERADE
    iptables -A POSTROUTING -t nat -s 192.168.68.0/24 -m state --state NEW -p tcp --dport 443 -j MASQUERADE
# SMTP
    iptables -A POSTROUTING -t nat -s 192.168.92.0/24 -m state --state NEW -p tcp --dport 25 -j MASQUERADE
    iptables -A POSTROUTING -t nat -s 192.168.68.0/24 -m state --state NEW -p tcp --dport 25 -j MASQUERADE
# SMTPS
    iptables -A POSTROUTING -t nat -s 192.168.92.0/24 -m state --state NEW -p tcp --dport 465 -j MASQUERADE
    iptables -A POSTROUTING -t nat -s 192.168.68.0/24 -m state --state NEW -p tcp --dport 465 -j MASQUERADE
# POP3
    iptables -A POSTROUTING -t nat -s 192.168.68.0/24 -m state --state NEW -p tcp --dport 110 -j MASQUERADE
# POP3S
    iptables -A POSTROUTING -t nat -s 192.168.68.0/24 -m state --state NEW -p tcp --dport 995 -j MASQUERADE
# IMAPS
    iptables -A INPUT -i eth2 -s 192.168.92.0/24 -m state --state NEW -p tcp --dport 993 -j ACCEPT
    iptables -A POSTROUTING -t nat -s 192.168.92.0/24 -m state --state NEW -p tcp --dport 993 -j MASQUERADE
# DNS
    iptables -A INPUT -i eth2 -s 192.168.92.0/16 -m state --state NEW -p tcp --dport 53 -j ACCEPT
    iptables -A INPUT -i eth2 -s 192.168.92.0/16 -m state --state NEW -p udp --dport 53 -j ACCEPT
# SMB/CIFS
    iptables -A INPUT -i eth2 -s 192.168.92.0/24 -m state --state NEW -p tcp --dport 137 -j ACCEPT
    iptables -A INPUT -i eth2 -s 192.168.92.0/24 -m state --state NEW -p tcp --dport 138 -j ACCEPT
    iptables -A INPUT -i eth2 -s 192.168.92.0/24 -m state --state NEW -p tcp --dport 139 -j ACCEPT
    iptables -A INPUT -i eth2 -s 192.168.92.0/24 -m state --state NEW -p tcp --dport 445 -j ACCEPT
    iptables -A INPUT -i eth2 -s 192.168.92.0/24 -m state --state NEW -p udp --dport 137 -j ACCEPT
    iptables -A INPUT -i eth2 -s 192.168.92.0/24 -m state --state NEW -p udp --dport 138 -j ACCEPT
    iptables -A INPUT -i eth2 -s 192.168.92.0/24 -m state --state NEW -p udp --dport 139 -j ACCEPT
    iptables -A INPUT -i eth2 -s 192.168.92.0/24 -m state --state NEW -p udp --dport 445 -j ACCEPT
# SSH
    iptables -A INPUT -i eth2 -s 192.168.92.0/24 -m state --state NEW,ESTABLISHED,RELATED -p tcp --dport 22 -j ACCEPT
    iptables -A OUTPUT -o eth2 -d 192.168.92.0/24 -m state --state NEW,ESTABLISHED,RELATED -p tcp --dport 22 -j ACCEPT
# DHCP
    iptables -A INPUT -i eth2 -m state --state NEW -p udp --dport 67 -j ACCEPT
    iptables -A OUTPUT -o eth2 -m state --state NEW -p udp --dport 67 -j ACCEPT
# NTP
    iptables -A INPUT -i eth2 -s 192.168.92.0/24 -m state --state NEW -p udp --dport 123 -j ACCEPT
# ICMP Echo-Request (ping) zulassen und beantworten
    iptables -A INPUT -i eth2 -m state --state NEW -p icmp --icmp-type echo-request -j ACCEPT
# Default-Policies mit REJECT
    iptables -A INPUT -j MY_REJECT
    iptables -A OUTPUT -j MY_REJECT
    iptables -A FORWARD -j MY_REJECT
# Forwarding/Routing
    echo "Aktiviere IP-Routing"
    echo 1 > /proc/sys/net/ipv4/ip_forward 2> /dev/null
# SYN-Cookies
    echo 1 > /proc/sys/net/ipv4/tcp_syncookies 2> /dev/null
# Stop Source-Routing
    for i in /proc/sys/net/ipv4/conf/*; do echo 0 > $i/accept_source_route 2> /dev/null; done
# Stop Redirecting
    for i in /proc/sys/net/ipv4/conf/*; do echo 0 > $i/accept_redirects 2> /dev/null; done
# Reverse-Path-Filter
    # Auskommentiert, da IPSEC mit RP_Filter nicht funktioniert!
    # for i in /proc/sys/net/ipv4/conf/*; do echo 2 > $i/rp_filter 2> /dev/null; done
# Log Martians
    for i in /proc/sys/net/ipv4/conf/*; do echo 1 > $i/log_martians 2> /dev/null; done
# BOOTP-Relaying ausschalten
    for i in /proc/sys/net/ipv4/conf/*; do echo 0 > $i/bootp_relay 2> /dev/null; done
# Proxy-ARP ausschalten
    for i in /proc/sys/net/ipv4/conf/*; do echo 0 > $i/proxy_arp 2> /dev/null; done
# Ungültige ICMP-Antworten ignorieren
    echo 1 > /proc/sys/net/ipv4/icmp_ignore_bogus_error_responses 2> /dev/null
# ICMP Echo-Broadcasts ignorieren
    echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_broadcasts 2> /dev/null
# Max. 500/Sekunde (5/Jiffie) senden
    echo 5 > /proc/sys/net/ipv4/icmp_ratelimit
# Speicherallozierung und -timing für IP-De/-Fragmentierung
    echo 262144 > /proc/sys/net/ipv4/ipfrag_high_thresh
    echo 196608 > /proc/sys/net/ipv4/ipfrag_low_thresh
    echo 30 > /proc/sys/net/ipv4/ipfrag_time
# TCP-FIN-Timeout zum Schutz vor DoS-Attacken setzen
    echo 30 > /proc/sys/net/ipv4/tcp_fin_timeout
# Maximal 3 Antworten auf ein TCP-SYN
    echo 3 > /proc/sys/net/ipv4/tcp_retries1
# TCP-Pakete maximal 15x wiederholen
    echo 15 > /proc/sys/net/ipv4/tcp_retries2
;;
stop)
    echo "Stoppe IP-Paketfilter"
    # Tabelle flushen
    iptables -F
    iptables -t nat -F
    iptables -t mangle -F
    iptables -X
    iptables -t nat -X
    iptables -t mangle -X
    echo "Deaktiviere IP-Routing"
    echo 0 > /proc/sys/net/ipv4/ip_forward
# Default-Policies setzen
    iptables -P INPUT ACCEPT
    iptables -P OUTPUT ACCEPT
    iptables -P FORWARD ACCEPT
    ;;
status)
    echo "Tabelle filter"
    iptables -L -vn
    echo "Tabelle nat"
    iptables -t nat -L -vn
    echo "Tabelle mangle"
    iptables -t mangle -L -vn
    ;;
*)
    echo "Fehlerhafter Aufruf"
    echo "Syntax: $0 {start|stop|status}"
    exit 1
    ;;
esac

2024

2023

2022

2021

2020

2019

2018

2017

2016

2015

2014

2013

2012

2011

2010

2009

2008

2007

2006

2005

2004

2003

2002

2001

2000

1999

gelöst: Re: Routing Netzwerk