Firewall

wzol
(usa Slackware)

Enviado em 06/01/2012 - 13:52h

Boa tarde amigos.
Trabalho numa empresa a quase 1 ano, tenho um certo conhecimento em Linux, mas é do basico ao intermediario e muita coisa eu procuro aqui no VOL, ao qual me ajuda e muito.
Tenho em minha rede um firewall e algumas regras de iptables.
Gostaria de dar uma organizada melhor nessa regras tambem.

Tenho uma VPN nas minhas filiais SBC, StoAmaro, as quais eu nao consigo chegar até o roteador da telefonica e somente da minha rede aqui eu consigo chegar as filiais.

Local 192.168.1.0/24 Concentrador
SBC 192.168.2.0/24 Filial
StoAmaro 192.168.3.0/24 Filial.

Se alguem puder me ajudar a dar uma organizada eu agreadeço desde jah
Meu email eh, wzolara@gmail.com
Grato
Abraços





#!/bin/sh
#
# /etc/rc.d/rc.local: Local system initialization script.
#
# Put any local startup commands in here. Also, if you have
# anything that needs to be run at shutdown time you can
# make an /etc/rc.d/rc.local_shutdown script and put those
# commands in there.


#Interfaces
#ETH0= 192.168.1.254
#ETH1= PPPoE
#ETH2= 192.168.11.1
#PPP0= PPPoe FasterNet


pppoe-start

#Limpa Chains
iptables -F
iptables -t nat -F
iptables -t mangle -F
iptables -X
iptables -t nat -X
iptables -t mangle -X

##IP Forwading
echo 1 >/proc/sys/net/ipv4/ip_forward

iptables -t nat -A POSTROUTING -o ppp0 -j MASQUERADE
#iptables -t nat -A POSTROUTING -s 192.168.1.253/32 -o ppp0 -j MASQUERADE

##Iperfor SBC
iptables -I INPUT -s 192.168.2.0/24 -j ACCEPT # Rede SBC
iptables -A FORWARD -s 192.168.2.0/24 -j ACCEPT # Rede SBC
iptables -A FORWARD -d 192.168.2.0/24 -j ACCEPT # Rede SBC
iptables -A FORWARD -s 192.168.2.244/32 -j ACCEPT # PABX SBC
iptables -A FORWARD -s 192.168.2.253/32 -j ACCEPT # Roteador SBC
iptables -A FORWARD -d 192.168.2.125/32 -j ACCEPT # Brother SBC

##Iperfor SP
iptables -I INPUT -s 192.168.3.0/24 -j ACCEPT # Rede SP
iptables -A FORWARD -s 192.168.3.0/24 -j ACCEPT # Rede SP
iptables -A FORWARD -d 192.168.3.0/24 -j ACCEPT # Rede SP
iptables -A FORWARD -s 192.168.3.244/32 -j ACCEPT # PABX SP
iptables -A FORWARD -s 192.168.3.253/32 -j ACCEPT # Roteador SP
iptables -A FORWARD -s 192.168.3.125/32 -j ACCEPT # Brother SP



#Hosts liberados Ipero
iptables -A FORWARD -s 192.168.1.6/32 -j ACCEPT #Iperfor-srv5
iptables -A FORWARD -s 192.168.1.7/32 -j ACCEPT #Iperfor-srv4
iptables -A FORWARD -s 192.168.1.8/32 -j ACCEPT #Adalberto
iptables -A FORWARD -s 192.168.1.186/32 -j ACCEPT #NoteHP
iptables -A FORWARD -s 192.168.1.244/32 -j ACCEPT #PABX
iptables -A FORWARD -s 192.168.1.253/32 -j ACCEPT #Roteador Telefonica


#Redirecionamento de Cameras Usinagem
iptables -t nat -I PREROUTING -i ppp0 -p tcp --dport 3550 -j DNAT --to 192.168.1.64
iptables -t nat -I PREROUTING -i ppp0 -p tcp --dport 4550 -j DNAT --to 192.168.1.64
iptables -t nat -I PREROUTING -i ppp0 -p tcp --dport 5550 -j DNAT --to 192.168.1.64
iptables -t nat -I PREROUTING -i ppp0 -p tcp --dport 6550 -j DNAT --to 192.168.1.64
iptables -t nat -I PREROUTING -i ppp0 -p tcp --dport 8085 -j DNAT --to 192.168.1.64
iptables -I FORWARD -p tcp --dport 3550 -d 192.168.1.64 -j ACCEPT
iptables -I FORWARD -p tcp --dport 4550 -d 192.168.1.64 -j ACCEPT
iptables -I FORWARD -p tcp --dport 5550 -d 192.168.1.64 -j ACCEPT
iptables -I FORWARD -p tcp --dport 6550 -d 192.168.1.64 -j ACCEPT
iptables -I FORWARD -p tcp --dport 8085 -d 192.168.1.64 -j ACCEPT
iptables -I FORWARD -p udp --dport 8085 -d 192.168.1.64 -j ACCEPT


#Arquivo de redirecionamento para proxy transparente
/etc/rc.d/rc.bloqueio

#SSH
iptables -A INPUT -i ppp0 -p tcp --dport 3128 -j DROP
#iptables -A INPUT -p tcp --dport 22 -j LOG --log-prefix "SSH" #Log do SSH#
iptables -A INPUT -s 200.187.80.9 -p tcp --dport 22 -j ACCEPT
#iptables -A INPUT -i ppp0 -p tcp --dport 22 -j ACCEPT
iptables -A INPUT -s 192.168.1.0/24 -p tcp --dport 22 -j ACCEPT
iptables -A INPUT -p tcp --dport 22 -j REJECT

#Bloqueia BruteForce
iptables -I INPUT -i ppp0 -p tcp --sport 1024: --dport 22 --syn -j ACCEPT
iptables -N SSH-BRUT-FORCE
iptables -A INPUT -i ppp0 -p tcp --sport 1024: --dport 22 --syn -j SSH-BRUT-FORCE
iptables -A SSH-BRUT-FORCE -m limit --limit 1/s --limit-burst 4 -j RETURN
iptables -A SSH-BRUT-FORCE -j DROP

#Protecao contra ping da morte
iptables -A FORWARD -p icmp --icmp-type echo-request -m limit --limit 1/s -j ACCEPT

#Protecoes diversas contra portscanners, ping of death, ataques DoS
iptables -A INPUT -m state --state INVALID -j DROP

wzol
(usa Slackware)

Enviado em 06/01/2012 - 14:07h

Lembrando que eu ja peguei essas regras assim desde que eu entrei na empresa.
Mas quero ver uma forma de organiza-las melhor para nao ficarem bagunçadas.

Da minha rede 1 nao pinga o router da rede 2, somente o router da rede 3.

Das minhas redes 2 e 3 nao consigo pingar o router da rede 1.

Tenho as rotas configuradas no fw.

Grato