Faierwall na laptopa - Biurko
: 27 gru 2012, 12:33
Witam.
Postanowiłem napisać sobie zaporę opartą o iptables dla laptopa pracującego jako stanowisko robocze w sieci domowej oraz poza nią.
Proszę o wyrozumiałość ponieważ dopiero się uczę, a wszystkie uwagi i sugestie są dla mnie cenne
Adresacja sieci domowej 192.168.125.0/24
Interfejsy w laptopie
wlan0 - wi-fi
eth1 - Kabelek
ppp0 - Modem 3g na usb
Założenia:
Komputer w sieci domowej oferuje usługi www, ftp, samba, ssh do których ma być dostęp z sieci (Tylko), umożliwione pingowanie komputera.
W pozostałych sieciach (po za domem) niezależnie od podłączonego interfejsu zabraniamy pingowania, oraz Zamykamy wszystko.
Skrypt jaki wymyśliłem, oraz pytanie czy poprawnie spełnia kryteria oraz czy można coś w nim poprawić?
Pytanie do specjalistów czy możemy zrobić iptables -P OUTPUT DROP a zapewnić działanie www na maszynie?
Pozdrawiam.
Postanowiłem napisać sobie zaporę opartą o iptables dla laptopa pracującego jako stanowisko robocze w sieci domowej oraz poza nią.
Proszę o wyrozumiałość ponieważ dopiero się uczę, a wszystkie uwagi i sugestie są dla mnie cenne
Adresacja sieci domowej 192.168.125.0/24
Interfejsy w laptopie
wlan0 - wi-fi
eth1 - Kabelek
ppp0 - Modem 3g na usb
Założenia:
Komputer w sieci domowej oferuje usługi www, ftp, samba, ssh do których ma być dostęp z sieci (Tylko), umożliwione pingowanie komputera.
W pozostałych sieciach (po za domem) niezależnie od podłączonego interfejsu zabraniamy pingowania, oraz Zamykamy wszystko.
Skrypt jaki wymyśliłem, oraz pytanie czy poprawnie spełnia kryteria oraz czy można coś w nim poprawić?
Kod: Zaznacz cały
#!/bin/sh
iptables -F
iptables -X
iptables -P INPUT DROP
iptables -P OUTPUT ACCEPT
iptables -A FORWARD -j DROP
iptables -A INPUT -i lo -j ACCEPT
iptables -A OUTPUT -i lo -j ACCEPT
iptables -A INPUT -m state --state INVALID -j LOG --log-prefix "INPUT DROP INVALID " --log-ip-options --log-tcp-options
iptables -A INPUT -m state --state INVALID -j DROP
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -i wlan0 -p icmp --icmp-type echo-request -j DROP
iptables -A INPUT -i eth0 -p icmp --icmp-type echo-request -j DROP
iptables -A INPUT -i ppp0 -p icmp --icmp-type echo-request -j DROP
#Dopuszczamy ruch z sieci domowej
iptables -A INPUT -s 192.168.125.0/24 -p icmp --icmp-type echo-request -j ACCEPT
iptables -A INPUT -s 192.168.125.0/24 -p tcp --dport 20 -j ACCEPT
iptables -A INPUT -s 192.168.125.0/24 -p tcp --dport 21 -j ACCEPT
iptables -A INPUT -s 192.168.125.0/24 -p tcp --dport 22 -j ACCEPT
iptables -A INPUT -s 192.168.125.0/24 -p tcp --dport 80 -j ACCEPT
iptables -A INPUT -s 192.168.125.0/24 -p tcp --dport 450 -j ACCEPT
iptables -A INPUT -s 192.168.125.0/24 -p tcp --dport 139 -j ACCEPT
iptables -A INPUT -s 192.168.125.0/24 -p tcp --dport 138 -j ACCEPT
iptables -A INPUT -s 192.168.125.0/24 -p tcp --dport 137 -j ACCEPT
iptables -A INPUT -s 192.168.125.0/24 -p tcp --dport 136 -j ACCEPT
Pozdrawiam.