# Les connections venant du lan destiné a etre forwardé sont accepté
iptables -A FORWARD -i $LOCAL -o $INTERNET -m state --state NEW,ESTABLISHED,RELA
TED  --dport 110 -j ACCEPT
 
# Seules les connexions déjà établies ou en relation avec des connexions déjà ét
ablies sont acceptées venant du Net vers le LAN
iptables -A FORWARD -i $INTERNET -o $LOCAL -m state --state ESTABLISHED,RELATED  
-j ACCEPT

#!/bin/bash

# /8      /255.0.0.0
# /16     /255.255.0.0
# /24     /255.255.255.0
#
#

###################

LOCAL="eth0"
INTERNET="eth1"
PRIVATE="192.168.0.0/24"
POSTE="192.168.0.84"
SERVEUR="192.168.0.10"

# Fonction pour arrêter le firewall (on flush)
stop() {
echo -n "Flush des règles Iptables: "
# On remet la police par défaut à ACCEPT
#
iptables -P INPUT ACCEPT
iptables -P FORWARD ACCEPT
iptables -P OUTPUT ACCEPT

#
# On remet les polices par défaut pour la table NAT
#
iptables -t nat -P PREROUTING ACCEPT
iptables -t nat -P POSTROUTING ACCEPT
iptables -t nat -P OUTPUT ACCEPT

#
# On vide (flush) toutes les règles existantes
#
iptables -F
iptables -t nat -F

#
# Et enfin, on efface toutes les chaînes qui ne
# sont pas à defaut dans la table filter et nat

iptables -X
iptables -t nat -X

# Message de fin ok
echo -e "[ \E[$40;32m OK \E[$40;0m ]"

#echo -e "[\E[$40;33mfailed\E[$40;0m]"#failed
}

start(){

echo -n "Chargement des règles Iptables: "

# Pour activer le forwarding
echo 1 > /proc/sys/net/ipv4/ip_forward

###################
# Pas de spoofing
if [ -e /proc/sys/net/ipv4/conf/all/rp_filter ]
then
  for filtre in /proc/sys/net/ipv4/conf/*/rp_filter
    do
       echo 1 > $filtre
    done
fi
###################

###################
# Pas de synflood
if [ -e /proc/sys/net/ipv4/tcp_syncookies ] ; then
   echo 1 > /proc/sys/net/ipv4/tcp_syncookies
fi
###################

###################
# Pas de icmp

echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_all
echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_broadcasts
###################

modprobe ip_conntrack

modprobe iptable_nat

#modprobe iptable_filter

# Pour autoriser les connexions ftp :
modprobe ip_conntrack_ftp
modprobe ip_nat_ftp

# Pour autoriser le DCC sous IRC :
#modprobe ip_conntrack_irc

# Activation du partage de connexion
echo "1" > /proc/sys/net/ipv4/ip_forward

# Remise à zero d'iptables:

iptables -F
iptables -t nat -F
iptables -t mangle -F
iptables -X
iptables -t nat -X
iptables -t mangle -X
###################

# La on logue et on refuse le paquet
iptables -N LOG_DROP
iptables -A LOG_DROP -j ULOG --ulog-nlgroup 1 --ulog-prefix 'RULE 1 -- DROP '
iptables -A LOG_DROP -j DROP

# ici, on logue et on accepte le paquet
iptables -N LOG_ACCEPT
iptables -A LOG_ACCEPT -j ULOG --ulog-nlgroup 1 --ulog-prefix 'RULE 2 -- ACCEPT '
iptables -A LOG_ACCEPT -j ACCEPT

######################################

###################
# Regles par defaut:
# on refuse les connexions entrantes
iptables -P INPUT DROP
# on refuse les connexions destinées à être forwardées
iptables -P FORWARD DROP
# les connexions sortantes sont refusées par défaut
iptables -P OUTPUT DROP
###################

# Translation d'adresse pour tout ce qui sort vers l'internet
iptables -A POSTROUTING -t nat -o $INTERNET  -j MASQUERADE

#####################################################################
# Regles générale sur les differente interfaces

# On accepte tout ce qui entre et sort de l'interface de loopback
iptables -A INPUT  -i lo -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT

# On accepte les packets entrants relatifs à  des connexions déjà établies sur l'interface connectée au net
iptables -A INPUT -i $INTERNET -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -o $INTERNET -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT

# On accepte les packets entrants relatifs à des connexions déjà établies sur l'interface connectée au lan
iptables -A INPUT -i $LOCAL -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -o $LOCAL -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT

####################################################################
# Regles

# Partage de fichiers uniquement en local

iptables -A INPUT -i $LOCAL -m state --state NEW,ESTABLISHED,RELATED -p tcp --dport 139 -j ACCEPT
iptables -A INPUT -i $LOCAL -m state --state NEW,ESTABLISHED,RELATED -p tcp --dport 445 -j ACCEPT

# on accepte l'envoie de mail sur le serveur a partir du reseau local
iptables -A INPUT -i $LOCAL -m state --state NEW,ESTABLISHED,RELATED -p tcp --dport 25 -j ACCEPT

# seulement mon poste peut acceder au serveur en ssh
iptables -A INPUT -i $LOCAL -s $POSTE -m state --state NEW,ESTABLISHED,RELATED -p tcp --dport 22 -j ACCEPT

# Webmin accessible seulement depuis mon poste
iptables -A INPUT -i $LOCAL -s $POSTE -m state --state NEW,ESTABLISHED,RELATED -p tcp --dport 10000 -j ACCEPT

#on laisse passer les requetes dns
iptables -A INPUT -i $LOCAL -m state --state NEW,ESTABLISHED,RELATED -p tcp --dport 53  -j ACCEPT
iptables -A INPUT -i $LOCAL -m state --state NEW,ESTABLISHED,RELATED -p udp --dport 53  -j ACCEPT

#on laisse passer le proxy
#iptables -A INPUT -i $LOCAL -m state --state NEW,ESTABLISHED,RELATED -p tcp --dport 3128  -j ACCEPT

# on autorise le trafique web de partout
iptables -A INPUT -p tcp --dport 80  -j ACCEPT
iptables -A INPUT -p tcp --dport 443  -j ACCEPT

# Redirection du port 80 vers le port 3128 ( celui du poxy squid )
iptables -t nat -A PREROUTING -s $PRIVATE -p tcp -m tcp --dport 80 -j REDIRECT --to-port 3128
iptables -A INPUT -i $LOCAL  -m state --state NEW,ESTABLISHED,RELATED -p tcp --dport 3128  -j ACCEPT

############################################################
# Forwarding

# Les connections venant du lan destiné a etre forwardé sont accepté
iptables -A FORWARD -i $LOCAL -o $INTERNET -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT

# Seules les connexions déjà établies ou en relation avec des connexions déjà établies sont acceptées venant du Net vers le LAN
iptables -A FORWARD -i $INTERNET -o $LOCAL -m state --state ESTABLISHED,RELATED -j ACCEPT

# on bloque MSN
iptables -I FORWARD -p tcp --dport 1863 -j DROP

# Permet à l'ensemble du LAN de dialoguer sur internet avec la même adresse IP
iptables -t nat -A POSTROUTING -s $PRIVATE -j MASQUERADE

# Ici on refuse les connexion entrantes et les paquets invalides
iptables -A INPUT -i $INTERNET  -m state --state NEW,INVALID -j LOG_DROP
iptables -A OUTPUT -o $INTERNET  -m state --state INVALID -j LOG_DROP

# Toutes les règles qui n'ont pas passé les règles du firewall seront refusées et loguées...
iptables -A FORWARD -j LOG_DROP
iptables -A INPUT -j LOG_DROP
iptables -A OUTPUT -j LOG_DROP

# Message de fin ok
echo -e  "[ \E[$40;32m OK \E[$40;0m ]"
}

case "$1" in
        start)
                start
                ;;
        stop)
                stop
                ;;
        reload)
                stop
                start
                ;;
         status)
                /sbin/iptables -L
                /sbin/iptables -t nat -L

                ;;
        *)
                echo -e "Usage: /etc/init.d/Firewall {start|stop|reload|status}"
                exit 1
                ;;
esac

exit 0

# Les connections venant du lan destiné a etre forwardé sont accepté
iptables -A FORWARD -i $LOCAL -o $INTERNET -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
 
 
# Seules les connexions déjà établies ou en relation avec des connexions déjà établies sont acceptées venant du Net vers le LAN
iptables -A FORWARD -i $INTERNET -o $LOCAL -m state --state ESTABLISHED,RELATED -j ACCEPT