Criar maquina de Firewall
25. Re: Criar maquina de Firewall
Buckminster
(usa Debian)
Enviado em 23/05/2013 - 05:19h
Testa esse script abaixo.Veja bem, no arquivo interfaces que você colocou aqui antes, a placa de rede de entrada da internet está como eth1 e a placa de rede de saída para sua rede interna está como eth0.
Copiei e colei o conteúdo do teu interfaces abaixo e fiz o script de acordo com ele. Se você não mudou o interfaces, o script irá funcionar.
Em "Protecao contra ping, SYN Cookie, IP Spoofing e protecoes do kernel" você comenta o que não quiser, por exemplo, como está nas regras, o servidor não responde à ping.
Mas não mude as duas primeiras regras 'echo' dessa seção.
As portas na seção "Liberando portas somente para a rede interna" você também pode comentar as que você não precisa liberar.
Testa esse script, depois podemos implementar outras regras nele se você quiser.
#!/bin/bash
#
#Desabilitando o trafego entre as placas
##########################
echo 0 > /proc/sys/net/ipv4/ip_forward
#
##Apagando e restaurando as chains e tabelas
##############################
iptables -Z # Zera as regras das chains
iptables -F # Remove as regras das chains
iptables -X # Apaga as chains
iptables -t nat -Z
iptables -t nat -F
iptables -t nat -X
iptables -t mangle -Z
iptables -t mangle -F
iptables -t mangle -X
#
IP_range=192.168.09.0/24
WAN_iface=eth1 #conexao com a internet
LAN_iface=eth0 #conexao com a rede interna
#
##Protecao contra ping, SYN Cookie, IP Spoofing e protecoes do kernel
#####################################################
echo 1 > /proc/sys/net/ipv4/tcp_syncookies #Syn Flood-DoS
echo 1 > /proc/sys/net/ipv4/conf/all/rp_filter #Ip Spoofing
echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_broadcasts #Sem ping e port scanners
echo 0 > /proc/sys/net/ipv4/icmp_ignore_bogus_error_responses #Sem resposta remota
for i in /proc/sys/net/ipv4/conf/*; do
echo 0 > $i/accept_redirects #Sem redirecionar rotas
echo 0 > $i/accept_source_route #Sem traceroute
echo 1 > $i/log_martians #Loga pacotes suspeitos no kernel
echo 1 > $i/rp_filter #Ip Spoofing
echo 1 > $i/secure_redirects; done #Redirecionamento seguro de pacotes
echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_all #Sem ping e tracert
#
#Carregando os modulos.
#################
modprobe ip_tables
modprobe iptable_nat
modprobe iptable_filter
modprobe iptable_mangle
modprobe ip_conntrack
#
##Definindo politicas padroes
####################
iptables -P INPUT DROP # iptables a política padrão da chain INPUT é proibir tudo
iptables -P FORWARD DROP
iptables -P OUTPUT ACCEPT
#
##Liberando a Loopback
################
iptables -A INPUT -i lo -j ACCEPT # adiciona regra na chain INPUT para liberar a loopback
#
##Regras de segurança na internet e de aceitacao de pacotes
########################################
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -m state --state NEW ! -i $WAN_iface -j DROP # << Interface de entrada da internet
iptables -A FORWARD -m state --state NEW ! -i $WAN_iface -j DROP
iptables -A INPUT -m state --state INVALID -j DROP
iptables -A FORWARD -m state --state INVALID -j DROP
#
##Liberando portas somente para a rede interna
###############################
iptables -A INPUT -p tcp --dport 3128 -i $LAN_iface -j ACCEPT #Proxy
iptables -A INPUT -p tcp --dport 80 -i $LAN_iface -j ACCEPT #HTTP
iptables -A INPUT -p tcp --dport 21 -i $LAN_iface -j ACCEPT #FTP
iptables -A INPUT -p tcp --dport 53 -i $LAN_iface -j ACCEPT #DNS
iptables -A INPUT -p udp --dport 53 -i $LAN_iface -j ACCEPT #DNS
iptables -A INPUT -p tcp --dport 25 -i $LAN_iface -j ACCEPT #SMTP
iptables -A INPUT -p tcp --dport 110 -i $LAN_iface -j ACCEPT #SSL
iptables -A INPUT -p udp --dport 110 -i $LAN_iface -j ACCEPT #SSL
iptables -A INPUT -p tcp --dport 8080 -j ACEPT #HTTP - Apache
iptables -A INPUT -p udp --dport 8080 -j ACCEPT #HTTP - Apache
#
# Habilita o roteamento no kernel #
echo 1 > /proc/sys/net/ipv4/ip_forward
#
# Compartilha a internet
iptables -t nat -A POSTROUTING -o $WAN_iface -j MASQUERADE
#
# Redirecionando para o Squid
#iptables -t nat -A PREROUTING -i $LAN_iface -p tcp --dport 80 -j REDIRECT --to-port 3128
## FIM ##
# This file describes the network interfaces available on your system
# and how to activate them. For more information, see interfaces(5).
# The loopback network interface
auto lo
iface lo inet loopback
# Primeira placa de rede
allow-hotplug eth0
iface eth0 inet static
address 192.168.0.1
netmask 255.255.255.0
broadcast 192.168.0.255
# The secondary network interface
allow-hotplug eth1
iface eth1 inet dhcp