iptables ¶

#!/bin/sh
# by minzkn <minzkn@infoeq.com>

# 외부 인터넷이 되는 interface (ADSL인 경우는 ppp0가 되겠죠)
IF_EXTERN=eth0
# 내부 gateway가 될 interface
IF_LOCAL=eth1
# 사용할 local 주소대역
MASQUE_ADDRESS=192.168.0.0/24
#MASQUE_ADDRESS=10.0.0.0/8

/sbin/iptables -P INPUT ACCEPT
/sbin/iptables -F INPUT
/sbin/iptables -P OUTPUT ACCEPT
/sbin/iptables -F OUTPUT
/sbin/iptables -P FORWARD DROP
/sbin/iptables -F FORWARD
/sbin/iptables -t nat -F

/sbin/iptables -A FORWARD -i ${IF_EXTERN} -o ${IF_LOCAL} -m state --state ESTABLISHED,RELATED -j ACCEPT
/sbin/iptables -A FORWARD -i ${IF_LOCAL} -o ${IF_EXTERN} -j ACCEPT
/sbin/iptables -A FORWARD -j LOG

/sbin/iptables -t nat -A POSTROUTING -o ${IF_EXTERN} -s ${MASQUE_ADDRESS} -j MASQUERADE

# 외부로부터 내부의 IP로 특정 포트를 포워드시킬때 다음과 같이 하면 됨. (아래 예시는 cvs port인 2401를 192.168.0.100 에 포워드 시키는 예제)
#/sbin/iptables -t nat -A PREROUTING -i ${IF_EXTERN} -p tcp --dport 2401 -j DNAT --to 192.168.0.100:2401

# End if masq_ip.sh

#!/bin/sh

# Copyright (C) INFOEQ co.,LTD.
# All rights reserved.
# 
# Author: JaeHyuk Cho <minzkn@infoeq.com>
#
# mzfirewall.sh version 1.0.0 20080530

EXEC_IPTABLES=/sbin/iptables
EXEC_IFCONFIG=/sbin/ifconfig

SERVER_INTERFACE=eth0
#SERVER_INTERFACE=eth1
#SERVER_INTERFACE=tun6to4
#SERVER_INTERFACE=bond0

# *** 공유기 설정 ***
USE_NAT=yes
# 외부 인터넷이 되는 interface (ADSL인 경우는 ppp0가 되겠죠)
EXTERN_INTERFACE=${SERVER_INTERFACE}
# 내부 gateway가 될 interface
LOCAL_INTERFACE=eth1
# 사용할 local 주소대역
MASQUE_ADDRESS=192.168.0.0/24

# -----------------------------------------------------
# 기반작업 준비

# Interface IP를 얻어온다.
SERVER_IP=`${EXEC_IFCONFIG} ${SERVER_INTERFACE} | grep "\<inet addr\>" | awk '{ gsub("addr:", "" ) ; print $2}'` 
CHAIN_NAME_PREFIX=MZSERVER

# -----------------------------------------------------
# 기반함수 (라이브러리)

# 신규 chain을 생성 함수 - chain target
s_mzfirewall_create_chain() {
    # 새로운 chain을 생성한다.
    ${EXEC_IPTABLES} -t filter -N ${2}
    
    # 넘겨줄 chain을 형성한다.
    ${EXEC_IPTABLES} -t filter -A ${1} -j ${2}
}

# 입력 개별거부정책 함수 - protocol source sport destination dport
s_mzfirewall_block_input_drop() {
    ${EXEC_IPTABLES} -A ${CHAIN_NAME_PREFIX}_BLOCK_INPUT -p ${1} -s ${2} --sport ${3} -d ${4} --dport ${5} -j DROP
}

# 입력 개별거부정책 함수 - protocol source destination
s_mzfirewall_block_input_drop_noport() {
    ${EXEC_IPTABLES} -A ${CHAIN_NAME_PREFIX}_BLOCK_INPUT -p ${1} -s ${2} -d ${3} -j DROP
}

# 입력 거부정책 함수 - protocol source sport destination dport
s_mzfirewall_input_drop() {
    ${EXEC_IPTABLES} -A ${CHAIN_NAME_PREFIX}_INPUT -p ${1} -s ${2} --sport ${3} -d ${4} --dport ${5} -j DROP
}

# 입력 거부정책 함수 - protocol source destination
s_mzfirewall_input_drop_noport() {
    ${EXEC_IPTABLES} -A ${CHAIN_NAME_PREFIX}_INPUT -p ${1} -s ${2} -d ${3} -j DROP
}

# 입력 허용정책 함수 - protocol source sport destination dport
s_mzfirewall_input_accept() {
    ${EXEC_IPTABLES} -A ${CHAIN_NAME_PREFIX}_INPUT -p ${1} -s ${2} --sport ${3} -d ${4} --dport ${5} -j ACCEPT
}

# 입력 허용정책 함수 - protocol source destination
s_mzfirewall_input_accept_noport() {
    ${EXEC_IPTABLES} -A ${CHAIN_NAME_PREFIX}_INPUT -p ${1} -s ${2} -d ${3} -j ACCEPT
}

# 출력 거부정책 함수 - protocol source sport destination dport
s_mzfirewall_output_drop() {
    ${EXEC_IPTABLES} -A ${CHAIN_NAME_PREFIX}_OUTPUT -p ${1} -s ${2} --sport ${3} -d ${4} --dport ${5} -j DROP
}

# 출력 거부정책 함수 - protocol source destination
s_mzfirewall_output_drop_noport() {
    ${EXEC_IPTABLES} -A ${CHAIN_NAME_PREFIX}_OUTPUT -p ${1} -s ${2} -d ${3} -j DROP
}

# 출력 허용정책 함수 - protocol source sport destination dport
s_mzfirewall_output_accept() {
    ${EXEC_IPTABLES} -I ${CHAIN_NAME_PREFIX}_OUTPUT -p ${1} -s ${2} --sport ${3} -d ${4} --dport ${5} -j ACCEPT
}

# 출력 허용정책 함수 - protocol source destination
s_mzfirewall_output_accept_noport() {
    ${EXEC_IPTABLES} -A ${CHAIN_NAME_PREFIX}_OUTPUT -p ${1} -s ${2} -d ${3} -j ACCEPT
}

# -----------------------------------------------------
# 수행함수

# 초기화 과정
mzfirewall_clean() {
    # 모든 chain들의 규칙을 삭제한다.
    ${EXEC_IPTABLES} -F

    # 규칙이 없는 chain을 제거한다.
    ${EXEC_IPTABLES} -X
}

# 기본 정책 설정
mzfirewall_default_raw() {
    # 입력은 기본적으로 모두 막는다.
    ${EXEC_IPTABLES} -P INPUT DROP
    
    # 출력은 기본적으로 모두 허용한다.
    ${EXEC_IPTABLES} -P OUTPUT ACCEPT
    
    # 출력은 기본적으로 모두 허용한다.
    ${EXEC_IPTABLES} -P FORWARD ACCEPT
}

# 상식수준의 방화벽 정책을 설정한다.
mzfirewall_default_rule() {
    # 잘못된 TCP상태는 모두 막는다.
    ${EXEC_IPTABLES} -A INPUT -p tcp -m state --state INVALID -j DROP

    # 이미 접속되어 있는 연결은 입력을 허용한다.
    ${EXEC_IPTABLES} -A INPUT -p tcp -m state --state ESTABLISHED,RELATED -j ACCEPT

    # loopback의 모든 입력은 허용한다.
    ${EXEC_IPTABLES} -A INPUT -i lo -j ACCEPT
    ${EXEC_IPTABLES} -A INPUT -p tcp -d any/0 --dport auth -j ACCEPT
}

# 신규 chain을 생성
mzfirewall_create_chain() {
    s_mzfirewall_create_chain INPUT ${CHAIN_NAME_PREFIX}_BLOCK_INPUT
    s_mzfirewall_create_chain INPUT ${CHAIN_NAME_PREFIX}_INPUT
    s_mzfirewall_create_chain OUTPUT ${CHAIN_NAME_PREFIX}_OUTPUT
    s_mzfirewall_create_chain FORWARD ${CHAIN_NAME_PREFIX}_FORWARD
}

# 입력 방화벽 정책
mzfirewall_input_rules() {
    # domain accept
    s_mzfirewall_input_accept udp 0/0 domain 0/0 0:
    s_mzfirewall_input_accept tcp 0/0 domain 0/0 0:

    # ICMP 입력 허용
    s_mzfirewall_input_accept_noport icmp 0/0 0/0

    # FTP 입력 허용
    s_mzfirewall_input_accept tcp 0/0 1024: 0/0 ftp
    s_mzfirewall_input_accept tcp 0/0 0: 0/0 ftp-data

    # TELNET 입력 허용
    s_mzfirewall_input_accept tcp 0/0 1024: 0/0 telnet

    # SSH 입력 허용
    s_mzfirewall_input_accept tcp 0/0 1024: 0/0 ssh

    # HTTP 입력 허용
    s_mzfirewall_input_accept tcp 0/0 1024: 0/0 http

    # 특정 포트 입력 허용
    s_mzfirewall_input_accept tcp 0/0 1024: 0/0 2744
}

# 출력 방화벽 정책 - 거부정책을 먼저 기술합니다.
mzfirewall_output_rules() {
    # 외부로의 IRC접속 거부 - IRC를 사용하지 않는다면 IRC출력거부를 추천합니다.
    #s_mzfirewall_output_drop tcp 0/0 0: 0/0 ircd

    # DOMAIN 출력 허용
    s_mzfirewall_output_accept udp 0/0 0: 0/0 domain
    s_mzfirewall_output_accept tcp 0/0 0: 0/0 domain
    
    # SMTP 출력 허용
    s_mzfirewall_output_accept udp 0/0 0: 0/0 smtp
}

# 블랙리스트 차단
mzfirewall_block_input_rules() {
    # 그냥 스크립트 수정해서 추가할때...
    s_mzfirewall_block_input_drop_noport all 210.212.219.61/32 0/0

    # block.list 파일에 차단할 IP목록을 열거하면 되는 방법
    #exec < "block.list"
    #while read block_ip
    #do
    #    block_ip=`echo ${block_ip} | sed 's/ //g'`
    #    if ! [ $(echo ${block_ip} | grep "^#") ] ; then
    #        if [ "${block_ip}" != "" ]  ; then
    #            s_mzfirewall_block_input_drop_noport all ${block_ip} 0/0
    #        fi
    #    fi
    #done
}

# 공유기
mzfirewall_nat() {
    if [ "${USE_NAT}" = "yes" ]; then
        # POSTROUTING은 내부에서 외부로 전송할때 규칙이고 PREROUTING은 외부에서 내부로 전송할때 규칙임.

        # 기본적으로 통과시키는 Interface 경로를 형성한다.
        ${EXEC_IPTABLES} -A ${CHAIN_NAME_PREFIX}_FORWARD -i ${EXTERN_INTERFACE} -o ${LOCAL_INTERFACE} -m state --state ESTABLISHED,RELATED -j ACCEPT
        ${EXEC_IPTABLES} -A ${CHAIN_NAME_PREFIX}_FORWARD -i ${LOCAL_INTERFACE} -o ${EXTERN_INTERFACE} -j ACCEPT
        ${EXEC_IPTABLES} -A ${CHAIN_NAME_PREFIX}_FORWARD -j LOG

        # Local IP address 대역을 Masquerade 시킨다.
        ${EXEC_IPTABLES} -t nat -A POSTROUTING -o ${EXTERN_INTERFACE} -s ${MASQUE_ADDRESS} -j MASQUERADE

        # 외부로부터 내부의 IP로 특정 포트를 포워드시킬때 다음과 같이 하면 됨. (아래 예시는 cvs port인 2401를 192.168.0.100 에 포워드 시키는 예제)
        #${EXEC_IPTABLES} -t nat -A PREROUTING -i ${EXTERN_INTERFACE} -p tcp --dport 2401 -j DNAT --to 192.168.0.100:2401
    fi
}

# 결과 확인
mzfirewall_report() {
    echo "iptables path is \"${EXEC_IPTABLES}\""
    echo "server ip is \"${SERVER_IP}\" (${SERVER_INTERFACE})"

    ${EXEC_IPTABLES} --list
}

# 방화벽 사용
mzfirewall_start() {
    mzfirewall_clean
    mzfirewall_default_raw
    mzfirewall_default_rule
    mzfirewall_create_chain

    mzfirewall_input_rules
    mzfirewall_output_rules

    mzfirewall_block_input_rules

    mzfirewall_nat
}

# 방화벽 사용안함
mzfirewall_stop() {
    mzfirewall_clean    
    
    # 입력은 기본적으로 모두 허용한다.
    ${EXEC_IPTABLES} -P INPUT ACCEPT
    
    # 출력은 기본적으로 모두 허용한다.
    ${EXEC_IPTABLES} -P OUTPUT ACCEPT
    
    # 출력은 기본적으로 모두 허용한다.
    ${EXEC_IPTABLES} -P FORWARD ACCEPT

}

# 방화벽 재시작
mzfirewall_restart() {
    mzfirewall_stop
    mzfirewall_start
}

# -----------------------------------------------------

case "$1" in
    start)
        mzfirewall_start
        ;;
    stop)
        mzfirewall_stop
        ;;
    restart|reload)
        mzfirewall_restart
        ;;
    report|show|list|status)
        mzfirewall_report
        ;;
    *)
        echo $"Usage: $0 {start|stop|restart|status}"
        exit 1
esac

# End of mzfirewall.sh