API tools faq
paste
Advertisement
Guest User

Untitled

a guest
Sep 20th, 2014
330
0
Never
Add comment
Not a member of Pastebin yet? Sign Up, it unlocks many cool features!
text 46.45 KB | None | 0 0
raw download clone embed print report
  1. #!/bin/bash
  2.  
  3. IPT="/sbin/iptables"
  4.  
  5. # Set LAN Interface & IP
  6.  
  7. INTIF="eth1"
  8. INTIP="192.168.1.1"
  9. INTNET="192.168.1.0/24"
  10.  
  11. # Set DMZ Interface & IP
  12.  
  13. #DMZIF="eth1"
  14. #DMZIP="192.168.3.1"
  15. #SQUID="192.168.3.2"
  16.  
  17. # Set Loopback Interface
  18.  
  19. LOIF="lo"
  20. LOIP="127.0.0.1"
  21. # set VPN PPTP
  22. VPNPPIF="ppp1"
  23. VPNPPIP="117.0.35.69"
  24. VPNPPNET="172.168.1.0/24"
  25.  
  26. # Set VPN Interface
  27.  
  28. VPNIF="tun0"
  29. VPNIP="172.16.3.1"
  30. VPNNET="172.16.3.0/27"
  31.  
  32. # Get External Interface & IP
  33.  
  34. EXTIF=`/sbin/route | grep -i 'default' | awk '{print$8}'`
  35. EXTIP=`/sbin/ifconfig $EXTIF | grep "inet addr" | awk -F":" '{print$2}' | awk '{print $1}'`
  36. EXTNET=any/0
  37.  
  38. # Set ICMP types, TCP ports, UDP ports, High ports, DNS servers
  39.  
  40. TCP_PORT="20 21 22 80 81 182 443 110 3128 25 3000 1194 1723 2222 2022 5060 5082 8089 8090 8888 3389 9000 3000 9002 636 26256 6881 6882 6883 6884 6885 6886 6887 6888 6889 6667 10022 17500 2087 2082 5555 4040"
  41. MAIL_PORT="465 587 993 995"
  42. HI_PORTS="1024:65535"
  43. DNS="8.8.8.8 208.67.222.222 208.67.220.220"
  44.  
  45. # Remove old rules
  46.  
  47. $IPT -F
  48. $IPT -F -t nat
  49. $IPT -F -t filter
  50. $IPT -F -t mangle
  51. $IPT -t mangle -X
  52. $IPT -t nat -X
  53. $IPT -X
  54. $IPT -Z INPUT
  55. $IPT -Z OUTPUT
  56. $IPT -Z FORWARD
  57.  
  58. # Set default policies
  59.  
  60.  
  61. $IPT -P INPUT DROP
  62. $IPT -P FORWARD DROP
  63. $IPT -P OUTPUT DROP
  64.  
  65. $IPT -N LOGDROP > /dev/null 2> /dev/null
  66. $IPT -F LOGDROP
  67. $IPT -A LOGDROP -j LOG --log-prefix "LOGDROP "
  68. $IPT -A LOGDROP -j DROP
  69.  
  70. $IPT -A INPUT -i $INTIF -p icmp -j ACCEPT
  71. $IPT -A OUTPUT -o $INTIF -p icmp -j ACCEPT
  72.  
  73. # Deny invalid request to FW
  74.  
  75. $IPT -A INPUT -m state --state INVALID -m limit --limit 1/s -j LOG --log-prefix "INVALID_INPUT: "
  76. $IPT -A INPUT -m state --state INVALID -j DROP
  77.  
  78. #################################VPN PPTP #################################
  79.  
  80. $IPT -A INPUT -i $EXTIF -s $EXTNET -d $EXTIP -p tcp --sport $HI_PORTS --dport 1723 -m state --state NEW -j ACCEPT
  81. $IPT -A OUTPUT -o $EXTIF -s $EXTIP -d $EXTNET -p tcp --sport 1723 --dport $HI_PORTS -m state --state ESTABLISHED -j ACCEPT
  82. $IPT -A INPUT -i $EXTIF -s $EXTNET -d $EXTNET -p tcp --sport $HI_PORTS --dport 1723 -m state --state ESTABLISHED -j ACCEPT
  83.  
  84. $IPT -A FORWARD -i $VPNPPIF -o $EXTIF -j ACCEPT
  85. $IPT -A FORWARD -i $EXTIF -o $VPNPPIF -j ACCEPT
  86.  
  87. $IPT -A FORWARD -i $VPNPPIF -o $INTIF -j ACCEPT
  88. $IPT -A FORWARD -i $INTIF -o $VPNPPIF -j ACCEPT
  89.  
  90. $IPT -A INPUT -i $EXTIF -p gre -j ACCEPT
  91. $IPT -A OUTPUT -o $EXTIF -p gre -j ACCEPT
  92.  
  93. # Allow vpn user ping to Company's network
  94. #$IPT -A FORWARD -i $VPNPPIF -o $INTIF -p icmp --icmp-type 8 -m state --state NEW,ESTABLISHED -j ACCEPT
  95. #$IPT -A FORWARD -i $INTIF -o $VPNPPIF -p icmp --icmp-type 0 -m state --state ESTABLISHED -j ACCEPT
  96.  
  97. #$IPT -A FORWARD -i $VPNPPIF -o $INTIF -p icmp --icmp-type 8 -m state --state NEW,ESTABLISHED -j ACCEPT
  98. #$IPT -A FORWARD -i $INTIF -o $VPNPPIF -p icmp --icmp-type 0 -m state --state ESTABLISHED -j ACCEPT
  99.  
  100. # Allow VPN user to ping to Company's Network
  101.  
  102. $IPT -A FORWARD -i $VPNPPIF -o $INTIF -s $VPNPPNET -d $INTNET -p icmp --icmp-type 8 -j ACCEPT
  103. $IPT -A FORWARD -i $INTIF -o $VPNPPIF -s $INTNET -d $VPNPPNET -p icmp --icmp-type 0 -j ACCEPT
  104.  
  105. # Allow VPN user to access to Sharing in Company's Network
  106.  
  107. $IPT -A FORWARD -i $VPNPPIF -o $INTIF -s $VPNPPNET -d $INTNET -p tcp --syn --sport $HI_PORTS --dport 445 -m state --state NEW -j ACCEPT
  108. $IPT -A FORWARD -i $INTIF -o $VPNPPIF -s $INTNET -d $VPNPPNET -p tcp ! --syn --sport 445 --dport $HI_PORTS -m state --state ESTABLISHED -j ACCEPT
  109. $IPT -A FORWARD -i $VPNPPIF -o $INTIF -s $VPNPPNET -d $INTNET -p tcp ! --syn --sport $HI_PORTS --dport 445 -m state --state ESTABLISHED -j ACCEPT
  110.  
  111. # Allow VPN user ssh to Company's Network
  112.  
  113. $IPT -A FORWARD -i $VPNPPIF -o $INTIF -s $VPNPPNET -d $INTNET -p tcp --syn --sport $HI_PORTS --dport 22 -m state --state NEW -j ACCEPT
  114. $IPT -A FORWARD -i $INTIF -o $VPNPPIF -s $INTNET -d $VPNPPNET -p tcp ! --syn --sport 22 --dport $HI_PORTS -m state --state ESTABLISHED -j ACCEPT
  115. $IPT -A FORWARD -i $VPNPPIF -o $INTIF -s $VPNPPNET -d $INTNET -p tcp ! --syn --sport $HI_PORTS --dport 22 -m state --state ESTABLISHED -j ACCEPT
  116.  
  117. # Allow VPN user remote desktop to Company's Network
  118.  
  119. $IPT -A FORWARD -i $VPNPPIF -o $INTIF -s $VPNPPNET -d $INTNET -p tcp --sport $HI_PORTS --dport 3389 -m state --state NEW -j ACCEPT
  120. $IPT -A FORWARD -i $INTIF -o $VPNPPIF -s $INTNET -d $VPNPPNET -p tcp --sport 3389 --dport $HI_PORTS -m state --state ESTABLISHED -j ACCEPT
  121. $IPT -A FORWARD -i $VPNPPIF -o $INTIF -s $VPNPPNET -d $INTNET -p tcp --sport $HI_PORTS --dport 3389 -m state --state ESTABLISHED -j ACCEPT
  122.  
  123. # Allow VPN user access to Company's Gerrit Server
  124.  
  125. $IPT -A FORWARD -i $VPNPPIF -o $INTIF -s $VPNPPNET -d 192.168.1.2 -p tcp --sport $HI_PORTS --dport 29418 -m state --state NEW -j ACCEPT
  126. $IPT -A FORWARD -i $INTIF -o $VPNPPIF -s 192.168.1.2 -d $VPNPPNET -p tcp --sport 29418 --dport $HI_PORTS -m state --state ESTABLISHED -j ACCEPT
  127. $IPT -A FORWARD -i $VPNPPIF -o $INTIF -s $VPNPPNET -d 192.168.1.2 -p tcp --sport $HI_PORTS --dport 29418 -m state --state ESTABLISHED -j ACCEPT
  128.  
  129. $IPT -A FORWARD -i $VPNPPIF -o $INTIF -s $VPNPPNET -d 192.168.1.2 -p tcp --sport $HI_PORTS --dport 9000 -m state --state NEW -j ACCEPT
  130. $IPT -A FORWARD -i $INTIF -o $VPNPPIF -s 192.168.1.2 -d $VPNPPNET -p tcp --sport 9000 --dport $HI_PORTS -m state --state ESTABLISHED -j ACCEPT
  131. $IPT -A FORWARD -i $VPNPPIF -o $INTIF -s $VPNPPNET -d 192.168.1.2 -p tcp --sport $HI_PORTS --dport 9000 -m state --state ESTABLISHED -j ACCEPT
  132.  
  133. # Allow VPN user access to Company's Redmine Server
  134. $IPT -A FORWARD -i $VPNPPIF -o $INTIF -s $VPNPPNET -d 192.168.1.9 -p tcp --syn --sport $HI_PORTS --dport 3000 -m state --state NEW -j ACCEPT
  135. $IPT -A FORWARD -i $INTIF -o $VPNPPIF -s 192.168.1.9 -d $VPNPPNET -p tcp ! --syn --sport 3000 --dport $HI_PORTS -m state --state NEW,ESTABLISHED -j ACCEPT
  136. $IPT -A FORWARD -i $VPNPPIF -o $INTIF -s $VPNPPNET -d 192.168.1.9 -p tcp ! --syn --sport $HI_PORTS --dport 3000 -m state --state ESTABLISHEd -j ACCEPT
  137. #for port 25
  138. $IPT -A FORWARD -i $VPNPPIF -o $INTIF -s $VPNPPNET -d 192.168.1.9 -p tcp --syn --sport $HI_PORTS --dport 25 -m state --state NEW -j ACCEPT
  139. $IPT -A FORWARD -i $INTIF -o $VPNPPIF -s 192.168.1.9 -d $VPNPPNET -p tcp ! --syn --sport 25 --dport $HI_PORTS -m state --state ESTABLISHED -j ACCEPT
  140. $IPT -A FORWARD -i $VPNPPIF -o $INTIF -s $VPNPPNET -d 192.168.1.9 -p tcp ! --syn --sport $HI_PORTS --dport 25 -m state --state ESTABLISHEd -j ACCEPT
  141.  
  142.  
  143. # Allow VPN user access to Company's SVN
  144.  
  145. $IPT -A FORWARD -i $VPNPPIF -o $INTIF -s $VPNPPNET -d 192.168.1.3 -p tcp --syn --sport $HI_PORTS --dport 8001 -m state --state NEW -j ACCEPT
  146. $IPT -A FORWARD -i $INTIF -o $VPNPPIF -s 192.168.1.3 -d $VPNPPNET -p tcp ! --syn --sport 8001 --dport $HI_PORTS -m state --state ESTABLISHED -j ACCEPT
  147. $IPT -A FORWARD -i $VPNPPIF -o $INTIF -s $VPNPPNET -d 192.168.1.3 -p tcp ! --syn --sport $HI_PORTS --dport 8001 -m state --state ESTABLISHEd -j ACCEPT
  148.  
  149. $IPT -A FORWARD -i $VPNPPIF -o $INTIF -s $VPNPPNET -d 192.168.1.3 -p tcp --syn --sport $HI_PORTS --dport 443 -m state --state NEW -j ACCEPT
  150. $IPT -A FORWARD -i $INTIF -o $VPNPPIF -s 192.168.1.3 -d $VPNPPNET -p tcp ! --syn --sport 443 --dport $HI_PORTS -m state --state ESTABLISHED -j ACCEPT
  151. $IPT -A FORWARD -i $VPNPPIF -o $INTIF -s $VPNPPNET -d 192.168.1.3 -p tcp ! --syn --sport $HI_PORTS --dport 443 -m state --state ESTABLISHEd -j ACCEPT
  152.  
  153. # Allow ssh from Internal,VPN to Firewall
  154.  
  155. $IPT -A INPUT -i $VPNPPIF -p tcp ! --syn --sport $HI_PORTS --dport 22 -m state --state NEW -m limit --limit 1/s -j LOG --log-prefix "BAD_REQUEST: "
  156. $IPT -A INPUT -i $VPNPPIF -p tcp ! --syn --sport $HI_PORTS --dport 22 -m state --state NEW -j DROP
  157. $IPT -A INPUT -i $VPNPPIF -s $VPNNET -d $VPNPPIP -p tcp --syn --sport $HI_PORTS --dport 22 -m limit --limit 3/s --limit-burst 3 -m state --state NEW -m connlimit ! --connlimit-above 2 -j ACCEPT
  158. $IPT -A OUTPUT -o $VPNPPIF -s $VPNPPIP -d $VPNPPNET -p tcp ! --syn --sport 22 --dport $HI_PORTS -m state --state ESTABLISHED -j ACCEPT
  159. $IPT -A INPUT -i $VPNPPIF -s $VPNPPNET -d $VPNPPIP -p tcp ! --syn --sport $HI_PORTS --dport 22 -m state --state ESTABLISHED -j ACCEPT
  160.  
  161. ######################### ##########################################################
  162.  
  163. # Allow and block some ips access Dropbox
  164.  
  165. $IPT -A FORWARD -i $INTIF -s 192.168.1.76 -m string --algo bm --string "dropbox.com" -j ACCEPT
  166. $IPT -A FORWARD -i $EXTIF -d 192.168.1.76 -m string --algo bm --string "dropbox.com" -j ACCEPT
  167.  
  168. $IPT -A FORWARD -i $INTIF -s 192.168.1.23 -m string --algo bm --string "dropbox.com" -j ACCEPT
  169. $IPT -A FORWARD -i $EXTIF -d 192.168.1.23 -m string --algo bm --string "dropbox.com" -j ACCEPT
  170.  
  171. $IPT -A FORWARD -i $INTIF -s 192.168.1.77 -m string --algo bm --string "dropbox.com" -j ACCEPT
  172. $IPT -A FORWARD -i $EXTIF -d 192.168.1.77 -m string --algo bm --string "dropbox.com" -j ACCEPT
  173.  
  174. #$IPT -A FORWARD -i $INTIF -m string --algo bm --string "dropbox.com" -j DROP
  175. #$IPT -A FORWARD -i $EXTIF -d $INTNET -m string --algo bm --string "dropbox.com" -j DROP
  176.  
  177. # Allow and block some ips access Mediafire
  178.  
  179. $IPT -A FORWARD -i $INTIF -s 192.168.1.76 -m string --algo bm --string "mediafire.com" -j ACCEPT
  180. $IPT -A FORWARD -i $EXTIF -d 192.168.1.76 -m string --algo bm --string "mediafire.com" -j ACCEPT
  181.  
  182.  
  183. $IPT -A FORWARD -i $INTIF -m string --algo bm --string "mediafire.com" -j DROP
  184. $IPT -A FORWARD -i $EXTIF -d $INTNET -m string --algo bm --string "mediafire.com" -j DROP
  185.  
  186. #---------------Allow S3.amazon.com----------
  187.  
  188. $IPT -A FORWARD -i $INTIF -o $EXTIF -d 72.21.192.0/19 -p tcp --syn -m state --state NEW -j ACCEPT
  189. $IPT -A FORWARD -i $EXTIF -o $INTIF -s 72.21.192.0/19 -p tcp ! --syn -m state --state ESTABLISHED -j ACCEPT
  190. $IPT -A FORWARD -i $INTIF -o $EXTIF -s 72.21.192.0/19 -p tcp ! --syn -m state --state ESTABLISHED -j ACCEPT
  191.  
  192. $IPT -A FORWARD -i $INTIF -o $EXTIF -d 207.171.160.0/19 -p tcp --syn -m state --state NEW -j ACCEPT
  193. $IPT -A FORWARD -i $EXTIF -o $INTIF -s 207.171.160.0/19 -p tcp ! --syn -m state --state ESTABLISHED -j ACCEPT
  194. $IPT -A FORWARD -i $INTIF -o $EXTIF -s 207.171.160.0/19 -p tcp ! --syn -m state --state ESTABLISHED -j ACCEPT
  195.  
  196. $IPT -A FORWARD -i $INTIF -o $EXTIF -d 178.236.0.0/21 -p tcp --syn -m state --state NEW -j ACCEPT
  197. $IPT -A FORWARD -i $EXTIF -o $INTIF -s 178.236.0.0/21 -p tcp ! --syn -m state --state ESTABLISHED -j ACCEPT
  198. $IPT -A FORWARD -i $INTIF -o $EXTIF -s 178.236.0.0/21 -p tcp ! --syn -m state --state ESTABLISHED -j ACCEPT
  199.  
  200. #----------- Access mp3.zing.vn -----------------------
  201.  
  202. $IPT -A FORWARD -i $INTIF -o $EXTIF -s 0/0 -d 120.138.69.80 -p tcp --syn -m state --state NEW -j ACCEPT
  203. $IPT -A FORWARD -i $EXTIF -o $INTIF -s 120.138.69.80 -d 0/0 -p tcp ! --syn -m state --state ESTABLISHED -j ACCEPT
  204. $IPT -A FORWARD -i $INTIF -o $EXTIF -s 0/0 -d 120.138.69.80 -p tcp ! --syn -m state --state ESTABLISHED -j ACCEPT
  205.  
  206. $IPT -A FORWARD -i $INTIF -o $EXTIF -s 0/0 -d 118.69.205.143 -p tcp --syn -m state --state NEW -j ACCEPT
  207. $IPT -A FORWARD -i $EXTIF -o $INTIF -s 118.69.205.143 -d 0/0 -p tcp ! --syn -m state --state ESTABLISHED -j ACCEPT
  208. $IPT -A FORWARD -i $INTIF -o $EXTIF -s 0/0 -d 118.69.205.143 -p tcp ! --syn -m state --state ESTABLISHED -j ACCEPT
  209.  
  210. $IPT -A FORWARD -i $INTIF -o $EXTIF -s 0/0 -d 27.0.14.21 -p tcp --syn -m state --state NEW -j ACCEPT
  211. $IPT -A FORWARD -i $EXTIF -o $INTIF -s 27.0.14.21 -d 0/0 -p tcp ! --syn -m state --state ESTABLISHED -j ACCEPT
  212. $IPT -A FORWARD -i $INTIF -o $EXTIF -s 0/0 -d 27.0.14.21 -p tcp ! --syn -m state --state ESTABLISHED -j ACCEPT
  213.  
  214. $IPT -A FORWARD -i $INTIF -o $EXTIF -s 0/0 -d 118.69.205.143 -p tcp --syn -m state --state NEW -j ACCEPT
  215. $IPT -A FORWARD -i $EXTIF -o $INTIF -s 118.69.205.143 -d 0/0 -p tcp ! --syn -m state --state ESTABLISHED -j ACCEPT
  216. $IPT -A FORWARD -i $INTIF -o $EXTIF -s 0/0 -d 118.69.205.143 -p tcp ! --syn -m state --state ESTABLISHED -j ACCEPT
  217.  
  218.  
  219. # Allow ssh from Internal,VPN to Firewall
  220.  
  221. $IPT -A INPUT -i $INTIF -p tcp ! --syn --sport $HI_PORTS --dport 22 -m state --state NEW -m limit --limit 1/s -j LOG --log-prefix "BAD_REQUEST: "
  222. $IPT -A INPUT -i $INTIF -p tcp ! --syn --sport $HI_PORTS --dport 22 -m state --state NEW -j DROP
  223. $IPT -A INPUT -i $INTIF -s $INTNET -d $INTIP -p tcp --syn --sport $HI_PORTS --dport 22 -m limit --limit 3/s --limit-burst 3 -m state --state NEW -m connlimit ! --connlimit-above 2 -j ACCEPT
  224. $IPT -A OUTPUT -o $INTIF -s $INTIP -d $INTNET -p tcp ! --syn --sport 22 --dport $HI_PORTS -m state --state ESTABLISHED -j ACCEPT
  225. $IPT -A INPUT -i $INTIF -s $INTNET -d $INTIP -p tcp ! --syn --sport $HI_PORTS --dport 22 -m state --state ESTABLISHED -j ACCEPT
  226.  
  227. $IPT -A INPUT -i $VPNIF -p tcp ! --syn --sport $HI_PORTS --dport 22 -m state --state NEW -m limit --limit 1/s -j LOG --log-prefix "BAD_REQUEST: "
  228. $IPT -A INPUT -i $VPNIF -p tcp ! --syn --sport $HI_PORTS --dport 22 -m state --state NEW -j DROP
  229. $IPT -A INPUT -i $VPNIF -s $VPNNET -d $VPNIP -p tcp --syn --sport $HI_PORTS --dport 22 -m limit --limit 3/s --limit-burst 3 -m state --state NEW -m connlimit ! --connlimit-above 2 -j ACCEPT
  230. $IPT -A OUTPUT -o $VPNIF -s $VPNIP -d $VPNNET -p tcp ! --syn --sport 22 --dport $HI_PORTS -m state --state ESTABLISHED -j ACCEPT
  231. $IPT -A INPUT -i $VPNIF -s $VPNNET -d $VPNIP -p tcp ! --syn --sport $HI_PORTS --dport 22 -m state --state ESTABLISHED -j ACCEPT
  232.  
  233. # Allow Internal ping to FW
  234.  
  235. $IPT -A INPUT -i $INTIF -s $INTNET -d $INTIP -p icmp --icmp-type 8 -m state --state NEW,ESTABLISHED -m limit --limit 1/s --limit-burst 4 -j ACCEPT
  236. $IPT -A OUTPUT -o $INTIF -s $INTIP -d $INTNET -p icmp --icmp-type 0 -m state --state ESTABLISHED -m limit --limit 1/s --limit-burst 4 -j ACCEPT
  237.  
  238. $IPT -A INPUT -i $INTIF -s $INTIP -d $INTNET -p icmp --icmp-type 8 -j ACCEPT
  239. $IPT -A OUTPUT -o $INTIF -s $INTNET -d $INTIP -p icmp --icmp-type 0 -j ACCEPT
  240.  
  241. # Allow FW query to outsite DNS server
  242.  
  243. for dns in $DNS; do
  244.  
  245. $IPT -A INPUT -i $EXTIF -s $dns -d $EXTIP -p udp --sport 53 --dport $HI_PORTS -m state --state ESTABLISHED -j ACCEPT
  246. $IPT -A OUTPUT -o $EXTIF -s $EXTIP -d $dns -p udp --sport $HI_PORTS --dport 53 -m state --state NEW -j ACCEPT
  247.  
  248. $IPT -A INPUT -i $EXTIF -s $dns -d $EXTIP -p tcp --sport 3389 --dport $HI_PORTS -m state --state ESTABLISHED -j ACCEPT
  249. $IPT -A OUTPUT -o $EXTIF -s $EXTIP -d $dns -p tcp --sport $HI_PORTS --dport 3389 -m state --state NEW -j ACCEPT
  250.  
  251. done
  252.  
  253. # Allow FW ping to outsite
  254.  
  255. $IPT -A INPUT -i $EXTIF -s $EXTNET -d $EXTIP -p icmp --icmp-type 0 -m state --state ESTABLISHED -m limit --limit 1/s --limit-burst 1 -j ACCEPT
  256. $IPT -A OUTPUT -o $EXTIF -s $EXTIP -d $EXTNET -p icmp --icmp-type 8 -m state --state NEW,ESTABLISHED -m limit --limit 1/s --limit-burst 1 -j ACCEPT
  257.  
  258. # Allow FW connect to outsite web server
  259.  
  260. $IPT -A INPUT -i $EXTIF -s $EXTNET -d $EXTIP -p tcp ! --syn --sport 80 --dport $HI_PORTS -m state --state ESTABLISHED -j ACCEPT
  261. $IPT -A OUTPUT -o $EXTIF -s $EXTIP -d $EXTNET -p tcp --syn --sport $HI_PORTS --dport 80 -m state --state NEW -j ACCEPT
  262. $IPT -A OUTPUT -o $EXTIF -s $EXTIP -d $EXTNET -p tcp ! --syn --sport $HI_PORTS --dport 80 -m state --state ESTABLISHED -j ACCEPT
  263.  
  264.  
  265. # Allow outsite vpn to Internal Network
  266.  
  267. $IPT -A INPUT -i $EXTIF -s $EXTNET -d $EXTIP -p tcp --syn --sport $HI_PORTS --dport 1194 -m state --state NEW -j ACCEPT
  268. $IPT -A OUTPUT -o $EXTIF -s $EXTIP -d $EXTNET -p tcp ! --syn --sport 1194 --dport $HI_PORTS -m state --state ESTABLISHED -j ACCEPT
  269. $IPT -A INPUT -i $EXTIF -s $EXTNET -d $EXTNET -p tcp ! --syn --sport $HI_PORTS --dport 1194 -m state --state ESTABLISHED -j ACCEPT
  270.  
  271. $IPT -A INPUT -i $EXTIF -s $EXTNET -d $EXTIP -p tcp --syn --sport $HI_PORTS --dport 1723 -m state --state NEW -j ACCEPT
  272. $IPT -A OUTPUT -o $EXTIF -s $EXTIP -d $EXTNET -p tcp ! --syn --sport 1723 --dport $HI_PORTS -m state --state ESTABLISHED -j ACCEPT
  273. $IPT -A INPUT -i $EXTIF -s $EXTNET -d $EXTNET -p tcp ! --syn --sport $HI_PORTS --dport 1723 -m state --state ESTABLISHED -j ACCEPT
  274.  
  275. # Allow FW to ping to Squid
  276.  
  277. #$IPT -A INPUT -i $DMZIF -s $SQUID -d $DMZIP -p icmp --icmp-type 0 -m state --state ESTABLISHED -m limit --limit 1/s --limit-burst 1 -j ACCEPT
  278. #$IPT -A OUTPUT -o $DMZIF -s $DMZIP -d $SQUID -p icmp --icmp-type 8 -m state --state NEW,ESTABLISHED -m limit --limit 1/s --limit-burst 1 -j ACCEPT
  279.  
  280. #$IPT -A INPUT -i $DMZIP -s $DMZIP -d $SQUID -p icmp -j ACCEPT
  281. #$IPT -A OUTPUT -o DMZIP -s $SQUID -d $DMZIP -p icmp -j ACCEPT
  282.  
  283. # Allow access to Loopback Interface
  284.  
  285. $IPT -A INPUT -i $LOIF -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT
  286. $IPT -A OUTPUT -o $LOIF -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT
  287.  
  288. # Allow ssh to Squid
  289.  
  290. #$IPT -A INPUT -i $DMZIF -s $SQUID -d $DMZIP -p tcp ! --syn --sport 22 --dport $HI_PORTS -m state --state ESTABLISHED -j ACCEPT
  291. #$IPT -A OUTPUT -o $DMZIF -s $DMZIP -d $SQUID -p tcp --syn --sport $HI_PORTS --dport 22 -m state --state NEW -j ACCEPT
  292. #$IPT -A OUTPUT -o $DMZIF -s $DMZIP -d $SQUID -p tcp ! --syn --sport $HI_PORTS --dport 22 -m state --state ESTABLISHED -j ACCEPT
  293.  
  294. # Allow to Internal access bounceme.anlab.info
  295.  
  296.  
  297. # Allow VPN user to ping to Company's Network
  298.  
  299. $IPT -A FORWARD -i $VPNIF -o $INTIF -s $VPNNET -d $INTNET -p icmp --icmp-type 8 -j ACCEPT
  300. $IPT -A FORWARD -i $INTIF -o $VPNIF -s $INTNET -d $VPNNET -p icmp --icmp-type 0 -j ACCEPT
  301.  
  302. # Allow VPN user to access to Sharing in Company's Network
  303.  
  304. $IPT -A FORWARD -i $VPNIF -o $INTIF -s $VPNNET -d $INTNET -p tcp --syn --sport $HI_PORTS --dport 445 -m state --state NEW -j ACCEPT
  305. $IPT -A FORWARD -i $INTIF -o $VPNIF -s $INTNET -d $VPNNET -p tcp ! --syn --sport 445 --dport $HI_PORTS -m state --state ESTABLISHED -j ACCEPT
  306. $IPT -A FORWARD -i $VPNIF -o $INTIF -s $VPNNET -d $INTNET -p tcp ! --syn --sport $HI_PORTS --dport 445 -m state --state ESTABLISHED -j ACCEPT
  307.  
  308. # Allow VPN user ssh to Company's Network
  309.  
  310. $IPT -A FORWARD -i $VPNIF -o $INTIF -s $VPNNET -d $INTNET -p tcp --syn --sport $HI_PORTS --dport 22 -m state --state NEW -j ACCEPT
  311. $IPT -A FORWARD -i $INTIF -o $VPNIF -s $INTNET -d $VPNNET -p tcp ! --syn --sport 22 --dport $HI_PORTS -m state --state ESTABLISHED -j ACCEPT
  312. $IPT -A FORWARD -i $VPNIF -o $INTIF -s $VPNNET -d $INTNET -p tcp ! --syn --sport $HI_PORTS --dport 22 -m state --state ESTABLISHED -j ACCEPT
  313.  
  314. # Allow VPN user remote desktop to Company's Network
  315.  
  316. $IPT -A FORWARD -i $VPNIF -o $INTIF -s $VPNNET -d $INTNET -p tcp --syn --sport $HI_PORTS --dport 3389 -m state --state NEW -j ACCEPT
  317. $IPT -A FORWARD -i $INTIF -o $VPNIF -s $INTNET -d $VPNNET -p tcp ! --syn --sport 3389 --dport $HI_PORTS -m state --state ESTABLISHED -j ACCEPT
  318. $IPT -A FORWARD -i $VPNIF -o $INTIF -s $VPNNET -d $INTNET -p tcp ! --syn --sport $HI_PORTS --dport 3389 -m state --state ESTABLISHED -j ACCEPT
  319.  
  320. # Allow VPN user access to Company's Gerrit Server
  321.  
  322. $IPT -A FORWARD -i $VPNIF -o $INTIF -s $VPNNET -d 192.168.1.2 -p tcp --syn --sport $HI_PORTS --dport 29418 -m state --state NEW -j ACCEPT
  323. $IPT -A FORWARD -i $INTIF -o $VPNIF -s 192.168.1.2 -d $VPNNET -p tcp ! --syn --sport 29418 --dport $HI_PORTS -m state --state ESTABLISHED -j ACCEPT
  324. $IPT -A FORWARD -i $VPNIF -o $INTIF -s $VPNNET -d 192.168.1.2 -p tcp ! --syn --sport $HI_PORTS --dport 29418 -m state --state ESTABLISHED -j ACCEPT
  325.  
  326. $IPT -A FORWARD -i $VPNIF -o $INTIF -s $VPNNET -d 192.168.1.2 -p tcp --syn --sport $HI_PORTS --dport 9000 -m state --state NEW -j ACCEPT
  327. $IPT -A FORWARD -i $INTIF -o $VPNIF -s 192.168.1.2 -d $VPNNET -p tcp ! --syn --sport 9000 --dport $HI_PORTS -m state --state ESTABLISHED -j ACCEPT
  328. $IPT -A FORWARD -i $VPNIF -o $INTIF -s $VPNNET -d 192.168.1.2 -p tcp ! --syn --sport $HI_PORTS --dport 9000 -m state --state ESTABLISHEd -j ACCEPT
  329.  
  330. # Allow External to access to Internal Servers: SVN, Trac, Gerrit, Redmine
  331.  
  332. $IPT -A FORWARD -p tcp -s $EXTNET -d 192.168.1.4 --sport $HI_PORTS --dport 443 -j ACCEPT
  333. $IPT -A FORWARD -p tcp -s 192.168.1.4 -d $EXTNET --sport 443 --dport $HI_PORTS -j ACCEPT
  334. #$IPT -A FORWARD -p tcp -s $EXTNET -d 192.168.1.3 --sport $HI_PORTS --dport 8001 -j ACCEPT
  335. #$IPT -A FORWARD -p tcp -s 192.168.1.3 -d $EXTNET --sport 8001 --dport $HI_PORTS -j ACCEPT
  336.  
  337. $IPT -A FORWARD -p tcp -s $EXTNET -d 192.168.1.2 --dport 29418 -j ACCEPT
  338. $IPT -A FORWARD -p tcp -s 192.168.1.2 -d $EXTNET --sport 29418 -j ACCEPT
  339.  
  340. $IPT -A FORWARD -p tcp -s $EXTNET -d 192.168.1.2 --sport $HI_PORTS --dport 9000 -j ACCEPT
  341. $IPT -A FORWARD -p tcp -s 192.168.1.2 -d $EXTNET --sport 9000 --dport $HI_PORTS -j ACCEPT
  342.  
  343. $IPT -A FORWARD -p tcp -s $EXTNET -d 192.168.1.2 --sport $HI_PORTS --dport 3000 -j ACCEPT
  344. $IPT -A FORWARD -p tcp -s 192.168.1.2 -d $EXTNET --sport 3000 --dport $HI_PORTS -j ACCEPT
  345.  
  346. #$IPT -A FORWARD -p tcp -s $EXTNET -d 192.168.1.2 --dport 29418 -j ACCEPT
  347. #$IPT -A FORWARD -p tcp -s 192.168.1.2 -d $EXTNET --sport 29418 -j ACCEPT
  348. #$IPT -A FORWARD -p tcp -s $EXTNET -d 192.168.1.2 --sport $HI_PORTS --dport 9000 -j ACCEPT
  349. #$IPT -A FORWARD -p tcp -s 192.168.1.2 -d $EXTNET --sport 9000 --dport $HI_PORTS -j ACCEPT
  350.  
  351.  
  352.  
  353. $IPT -A FORWARD -p tcp -s $EXTNET -d 192.168.1.11 --sport $HI_PORTS --dport 8003 -j ACCEPT
  354. $IPT -A FORWARD -p tcp -s 192.168.1.11 -d $EXTNET --sport 8003 --dport $HI_PORTS -j ACCEPT
  355.  
  356. $IPT -A FORWARD -p tcp -s 192.168.1.4 -d $EXTNET --dport 25 -j ACCEPT
  357. $IPT -A FORWARD -p tcp -s 192.168.1.31 -d $EXTNET --dport 25 -j ACCEPT
  358. $IPT -A FORWARD -p tcp -s 192.168.1.2 -d $EXTNET --dport 25 -j ACCEPT
  359. $IPT -A FORWARD -p tcp -s 192.168.1.24 -d $EXTNET --dport 25 -j ACCEPT
  360.  
  361. $IPT -A FORWARD -p tcp -s $EXTNET -d 192.168.1.3 --sport $HI_PORTS --dport 80 -j ACCEPT
  362. $IPT -A FORWARD -p tcp -s 192.168.1.3 -d $EXTNET --sport 80 --dport $HI_PORTS -j ACCEPT
  363.  
  364. $IPT -A FORWARD -p tcp -s $EXTNET -d 192.168.1.4 --sport $HI_PORTS --dport 6666 -j ACCEPT
  365. $IPT -A FORWARD -p tcp -s 192.168.1.4 -d $EXTNET --sport 6666 --dport $HI_PORTS -j ACCEPT
  366. #-------------- Port DT--------------
  367. $IPT -A FORWARD -p tcp -s $EXTNET -d 192.168.1.200 --sport $HI_PORTS --dport 10000:20000 -j ACCEPT
  368. $IPT -A FORWARD -p tcp -s 192.168.1.200 -d $EXTNET --sport 10000:20000 --dport $HI_PORTS -j ACCEPT
  369.  
  370. $IPT -A FORWARD -p tcp -s $EXTNET -d 192.168.1.200 --sport $HI_PORTS --dport 5060:5082 -j ACCEPT
  371. $IPT -A FORWARD -p tcp -s 192.168.1.200 -d $EXTNET --sport 5060:5082 --dport $HI_PORTS -j ACCEPT
  372.  
  373.  
  374.  
  375. #########################################
  376.  
  377. $IPT -A FORWARD -p tcp -s $EXTNET -d 192.168.1.18 --sport $HI_PORTS --dport 8086 -j ACCEPT
  378. $IPT -A FORWARD -p tcp -s 192.168.1.18 -d $EXTNET --sport 8086 --dport $HI_PORTS -j ACCEPT
  379. $IPT -A FORWARD -p tcp -s $EXTNET -d 192.168.1.18 --sport $HI_PORTS --dport 8086 -j ACCEPT
  380. $IPT -A FORWARD -p tcp -s 192.168.1.18 -d $EXTNET --sport 8086 --dport $HI_PORTS -j ACCEPT
  381.  
  382.  
  383. $IPT -t nat -A PREROUTING -i $EXTIF -d $EXTIP -p tcp --sport $HI_PORTS --dport 2222 -j DNAT --to 192.168.1.2:2222
  384. $IPT -t nat -A PREROUTING -i $EXTIF -d $EXTIP -p tcp --sport $HI_PORTS --dport 2022 -j DNAT --to 192.168.1.2:2022
  385. $IPT -t nat -A PREROUTING -i $EXTIF -d $EXTIP -p tcp --sport $HI_PORTS --dport 80 -j DNAT --to 192.168.1.3:80
  386. $IPT -t nat -A PREROUTING -i $EXTIF -d $EXTIP -p tcp --sport $HI_PORTS --dport 443 -j DNAT --to 192.168.1.4:443
  387.  
  388. #$IPT -t nat -A PREROUTING -i $EXTIF -d $EXTIP -p tcp --sport $HI_PORTS --dport 9000 -j DNAT --to 192.168.1.2:9000
  389.  
  390. $IPT -t nat -A PREROUTING -i $EXTIF -d $EXTIP -p tcp --sport $HI_PORTS --dport 10000:20000 -j DNAT --to 192.168.1.200:10000-20000
  391. $IPT -t nat -A PREROUTING -i $EXTIF -d $EXTIP -p tcp --sport $HI_PORTS --dport 5060:5082 -j DNAT --to 192.168.1.200:5060-5082
  392.  
  393. #$IPT -t nat -A PREROUTING -i $EXTIF -d $EXTIP -p tcp --sport $HI_PORTS --dport 443 -j DNAT --to 192.168.1.31:443
  394. #$IPT -t nat -A PREROUTING -i $EXTIF -d $EXTIP -p tcp --sport $HI_PORTS --dport 8001 -j DNAT --to 192.168.1.31:8001
  395.  
  396. $IPT -t nat -A PREROUTING -i $EXTIF -d $EXTIP -p tcp --sport $HI_PORTS --dport 3000 -j DNAT --to 192.168.1.2:3000
  397. $IPT -t nat -A PREROUTING -i $EXTIF -d $EXTIP -p tcp --sport $HI_PORTS --dport 9000 -j DNAT --to 192.168.1.2:9000
  398. $IPT -t nat -A PREROUTING -i $EXTIF -d $EXTIP -p tcp --sport $HI_PORTS --dport 29418 -j DNAT --to 192.168.1.2:29418
  399.  
  400. #$IPT -t nat -A PREROUTING -i $EXTIF -d $EXTIP -p tcp --sport $HI_PORTS --dport 9000 -j DNAT --to 192.168.1.2:9000
  401. #$IPT -t nat -A PREROUTING -i $EXTIF -d $EXTIP -p tcp --sport $HI_PORTS --dport 82 -j DNAT --to 192.168.1.2:29418
  402.  
  403.  
  404. $IPT -t nat -A PREROUTING -i $EXTIF -d $EXTIP -p tcp --sport $HI_PORTS --dport 6666 -j DNAT --to 192.168.1.4:6666
  405.  
  406. # Allow to some ip access DropBox
  407.  
  408. $IPT -A FORWARD -i $INTIF -o $EXTIF -s 192.168.1.23 -d 199.47.216.0/22 -p tcp --syn -m state --state NEW -j ACCEPT
  409. $IPT -A FORWARD -i $EXTIF -o $INTIF -s 199.47.216.0/22 -d 192.168.1.23 -p tcp ! --syn -m state --state ESTABLISHED -j ACCEPT
  410. $IPT -A FORWARD -i $INTIF -o $EXTIF -s 192.168.1.23 -d 199.47.216.0/22 -p tcp ! --syn -m state --state ESTABLISHED -j ACCEPT
  411.  
  412. while read ip
  413. do
  414.  
  415. $IPT -A FORWARD -i $INTIF -o $EXTIF -s $ip -d 199.47.216.0/22 -p tcp --syn -m state --state NEW -j ACCEPT
  416. $IPT -A FORWARD -i $EXTIF -o $INTIF -s 199.47.216.0/22 -d $ip -p tcp ! --syn -m state --state ESTABLISHED -j ACCEPT
  417. $IPT -A FORWARD -i $INTIF -o $EXTIF -s $ip -d 199.47.216.0/22 -p tcp ! --syn -m state --state ESTABLISHED -j ACCEPT
  418.  
  419. $IPT -A FORWARD -i $INTIF -o $EXTIF -s $ip -d 199.47.217.0/24 -p tcp --syn -m state --state NEW -j ACCEPT
  420. $IPT -A FORWARD -i $EXTIF -o $INTIF -s 199.47.217.0/22 -d $ip -p tcp ! --syn -m state --state ESTABLISHED -j ACCEPT
  421. $IPT -A FORWARD -i $INTIF -o $EXTIF -s $ip -d 199.47.217.0/22 -p tcp ! --syn -m state --state ESTABLISHED -j ACCEPT
  422.  
  423. done < $HOME/ipdboxlist.txt
  424.  
  425.  
  426. # Allow access to Mediafire
  427.  
  428. while read ip
  429. do
  430.  
  431. $IPT -A FORWARD -i $INTIF -o $EXTIF -s $ip -d 205.196.120.12 -p tcp --syn -m state --state NEW -j ACCEPT
  432. $IPT -A FORWARD -i $EXTIF -o $INTIF -s 205.196.120.12 -d $ip -p tcp ! --syn -m state --state ESTABLISHED -j ACCEPT
  433. $IPT -A FORWARD -i $INTIF -o $EXTIF -s $ip -d 205.196.120.12 -p tcp ! --syn -m state --state ESTABLISHED -j ACCEPT
  434.  
  435. $IPT -A FORWARD -i $INTIF -o $EXTIF -s $ip -d 205.196.120.13 -p tcp --syn -m state --state NEW -j ACCEPT
  436. $IPT -A FORWARD -i $EXTIF -o $INTIF -s 205.196.120.13 -d $ip -p tcp ! --syn -m state --state ESTABLISHED -j ACCEPT
  437. $IPT -A FORWARD -i $INTIF -o $EXTIF -s $ip -d 205.196.120.13 -p tcp ! --syn -m state --state ESTABLISHED -j ACCEPT
  438.  
  439. $IPT -A FORWARD -i $INTIF -o $EXTIF -s $ip -d 205.196.120.0/22 -p tcp --syn -m state --state NEW -j ACCEPT
  440. $IPT -A FORWARD -i $EXTIF -o $INTIF -s 205.196.120.0/22 -d $ip -p tcp ! --syn -m state --state ESTABLISHED -j ACCEPT
  441. $IPT -A FORWARD -i $INTIF -o $EXTIF -s $ip -d 205.196.120.0/22 -p tcp ! --syn -m state --state ESTABLISHED -j ACCEPT
  442.  
  443. done < $HOME/ipmediaflist.txt
  444.  
  445.  
  446. # Allow access to Box.net
  447.  
  448. while read ip
  449. do
  450. $IPT -A FORWARD -i $INTIF -o $EXTIF -s $ip -d 74.112.184.0/22 -p tcp --syn -m state --state NEW -j ACCEPT
  451. $IPT -A FORWARD -i $EXTIF -o $INTIF -s 74.112.184.0/22 -d $ip -p tcp ! --syn -m state --state ESTABLISHED -j ACCEPT
  452. $IPT -A FORWARD -i $INTIF -o $EXTIF -s $ip -d 74.112.184.0/22 -p tcp ! --syn -m state --state ESTABLISHED -j ACCEPT
  453.  
  454. $IPT -A FORWARD -i $INTIF -o $EXTIF -s $ip -d 74.112.184.69 -p tcp --syn -m state --state NEW -j ACCEPT
  455. $IPT -A FORWARD -i $EXTIF -o $INTIF -s 74.112.184.69 -d $ip -p tcp ! --syn -m state --state ESTABLISHED -j ACCEPT
  456. $IPT -A FORWARD -i $INTIF -o $EXTIF -s $ip -d 74.112.184.69 -p tcp ! --syn -m state --state ESTABLISHED -j ACCEPT
  457.  
  458. $IPT -A FORWARD -i $INTIF -o $EXTIF -s $ip -d 74.112.184.197 -p tcp --syn -m state --state NEW -j ACCEPT
  459. $IPT -A FORWARD -i $EXTIF -o $INTIF -s 74.112.184.197 -d $ip -p tcp ! --syn -m state --state ESTABLISHED -j ACCEPT
  460. $IPT -A FORWARD -i $INTIF -o $EXTIF -s $ip -d 74.112.184.197 -p tcp ! --syn -m state --state ESTABLISHED -j ACCEPT
  461.  
  462. done < $HOME/ipboxlist.txt
  463.  
  464.  
  465. # Allow access into HAIVL
  466.  
  467. while read ip
  468. do
  469. $IPT -A FORWARD -i $INTIF -o $EXTIF -s $ip -d 210.211.124.236 -p tcp --syn -m state --state NEW -j ACCEPT
  470. $IPT -A FORWARD -i $EXTIF -o $INTIF -s 210.211.124.236 -d $ip -p tcp ! --syn -m state --state ESTABLISHED -j ACCEPT
  471. $IPT -A FORWARD -i $INTIF -o $EXTIF -s $ip -d 210.211.124.236 -p tcp ! --syn -m state --state ESTABLISHED -j ACCEPT
  472. done < $HOME/ipmediaflist.txt
  473.  
  474.  
  475. # Allow Lan, Squid to query DNS server on Internet
  476.  
  477. for dns in $DNS; do
  478.  
  479. $IPT -A FORWARD -p udp --sport $HI_PORTS --dport 53 -i $INTIF -o $EXTIF -s $INTNET -d $dns -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
  480. $IPT -A FORWARD -p udp --sport 53 -i $EXTIF -o $INTIF -s $dns -d $INTNET -m state --state ESTABLISHED,RELATED -j ACCEPT
  481.  
  482. #$IPT -A FORWARD -p udp --dport 53 -i $DMZIF -o $EXTIF -s $SQUID -d $dns -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
  483. #$IPT -A FORWARD -p udp --sport 53 -i $EXTIF -o $DMZIF -s $dns -d $SQUID -m state --state ESTABLISHED,RELATED -j ACCEPT
  484.  
  485. done
  486.  
  487.  
  488. # Block to some IP
  489.  
  490. while read ips
  491. do
  492. $IPT -A FORWARD -p tcp -i $INTIF -o $EXTIF -s $INTNET -d $ips -m state --state NEW,ESTABLISHED,RELATED -j DROP
  493. done < $HOME/iplist.txt
  494.  
  495. # Block to hosts PROXIES
  496.  
  497. while read ips
  498. do
  499. $IPT -A FORWARD -p tcp -i $INTIF -o $EXTIF -s $INTNET -d $ips -m state --state NEW,ESTABLISHED,RELATED -j DROP
  500. done < $HOME/blockipproxies.txt
  501.  
  502.  
  503. # Allow LAN ping to SQUID, Internet
  504.  
  505. $IPT -A FORWARD -i $INTIF -o $EXTIF -s $INTNET -d $EXTNET -p icmp --icmp-type 8 -m state --state NEW,ESTABLISHED -j ACCEPT
  506. $IPT -A FORWARD -i $EXTIF -o $INTIF -s $EXTNET -d $INTNET -p icmp --icmp-type 0 -m state --state ESTABLISHED -j ACCEPT
  507.  
  508. #$IPT -A FORWARD -i $INTIF -o $DMZIF -s $INTNET -d $SQUID -p icmp --icmp-type 8 -m state --state NEW,ESTABLISHED -j ACCEPT
  509. #$IPT -A FORWARD -i $DMZIF -o $INTIF -s $SQUID -d $INTNET -p icmp --icmp-type 0 -m state --state ESTABLISHED -j ACCEPT
  510.  
  511. # Allow LongNM, TinhNT, SonNT ftp to IBM server
  512.  
  513. $IPT -A FORWARD -i $INTIF -o $EXTIF -s 192.168.1.75 -d $EXTNET -p tcp --sport $HI_PORTS --dport 1723 -j ACCEPT
  514. $IPT -A FORWARD -i $EXTIF -o $INTIF -s $EXTNET -d 192.168.1.75 -p tcp --sport 1723 --dport $HI_PORTS -j ACCEPT
  515. $IPT -A FORWARD -i $INTIF -o $EXTIF -s 192.168.1.75 -d $EXTNET -p 47 -j ACCEPT
  516. $IPT -A FORWARD -i $EXTIF -o $INTIF -s $EXTNET -d 192.168.1.75 -p 47 -j ACCEPT
  517.  
  518.  
  519. $IPT -A FORWARD -i $INTIF -o $EXTIF -s 192.168.1.23 -d $EXTNET -p tcp --sport $HI_PORTS --dport 9898 -j ACCEPT
  520. $IPT -A FORWARD -i $EXTIF -o $INTIF -s $EXTNET -d 192.168.1.23 -p tcp --sport 9898 --dport $HI_PORTS -j ACCEPT
  521.  
  522.  
  523. $IPT -A FORWARD -i $INTIF -o $EXTIF -s 192.168.1.71 -d $EXTNET -p tcp --sport $HI_PORTS --dport 1723 -j ACCEPT
  524. $IPT -A FORWARD -i $EXTIF -o $INTIF -s $EXTNET -d 192.168.1.71 -p tcp --sport 1723 --dport $HI_PORTS -j ACCEPT
  525. $IPT -A FORWARD -i $INTIF -o $EXTIF -s 192.168.1.71 -d $EXTNET -p 47 -j ACCEPT
  526. $IPT -A FORWARD -i $EXTIF -o $INTIF -s $EXTNET -d 192.168.1.71 -p 47 -j ACCEPT
  527.  
  528. $IPT -A FORWARD -i $INTIF -o $EXTIF -s 192.168.1.83 -d $EXTNET -p tcp --sport $HI_PORTS --dport 1723 -j ACCEPT
  529. $IPT -A FORWARD -i $EXTIF -o $INTIF -s $EXTNET -d 192.168.1.83 -p tcp --sport 1723 --dport $HI_PORTS -j ACCEPT
  530. $IPT -A FORWARD -i $INTIF -o $EXTIF -s 192.168.1.83 -d $EXTNET -p 47 -j ACCEPT
  531. $IPT -A FORWARD -i $EXTIF -o $INTIF -s $EXTNET -d 192.168.1.83 -p 47 -j ACCEPT
  532.  
  533.  
  534.  
  535. $IPT -A FORWARD -i $INTIF -o $EXTIF -s 192.168.1.84 -d $EXTNET -p tcp --sport $HI_PORTS --dport 1723 -j ACCEPT
  536. $IPT -A FORWARD -i $EXTIF -o $INTIF -s $EXTNET -d 192.168.1.84 -p tcp --sport 1723 --dport $HI_PORTS -j ACCEPT
  537. $IPT -A FORWARD -i $INTIF -o $EXTIF -s 192.168.1.84 -d $EXTNET -p 47 -j ACCEPT
  538. $IPT -A FORWARD -i $EXTIF -o $INTIF -s $EXTNET -d 192.168.1.84 -p 47 -j ACCEPT
  539.  
  540. $IPT -A FORWARD -i $INTIF -o $EXTIF -s 192.168.1.159 -d $EXTNET -p tcp --sport $HI_PORTS --dport 1723 -j ACCEPT
  541. $IPT -A FORWARD -i $EXTIF -o $INTIF -s $EXTNET -d 192.168.1.159 -p tcp --sport 1723 --dport $HI_PORTS -j ACCEPT
  542. $IPT -A FORWARD -i $INTIF -o $EXTIF -s 192.168.1.159 -d $EXTNET -p 47 -j ACCEPT
  543. $IPT -A FORWARD -i $EXTIF -o $INTIF -s $EXTNET -d 192.168.1.159 -p 47 -j ACCEPT
  544.  
  545. # Allow ftp to ftp.division-engineering.com
  546.  
  547. #while read ips
  548. #do
  549.  
  550. #$IPT -A FORWARD -i $INTIF -o $EXTIF -s $ips -d 211.5.103.26 -p tcp --syn --sport $HI_PORTS --dport 10022 -m state --state NEW -j ACCEPT
  551. #$IPT -A FORWARD -i $EXTIF -o $INTIF -s 211.5.103.26 -d $ips -p tcp ! --syn --sport 10022 --dport $HI_PORTS -m state --state ESTABLISHED -j ACCEPT
  552. #$IPT -A FORWARD -i $INTIF -o $EXTIF -s $ips -d 211.5.103.26 -p tcp ! --syn --sport $HI_PORTS --dport 10022 -m state --state ESTABLISHED -j ACCEPT
  553. #$IPT -A FORWARD -i $INTIF -o $EXTIF -s $ips -d 211.5.103.26 -p tcp --sport $HI_PORTS --dport $HI_PORTS -m state --state ESTABLISHED,RELATED -j ACCEPT
  554. #$IPT -A FORWARD -i $EXTIF -o $INTIF -s 211.5.103.26 -d $ips -p tcp --sport $HI_PORTS --dport $HI_PORTS -m state --state ESTABLISHED,RELATED -j ACCEPT
  555.  
  556. #done < $HOME/ipftp-ibmlist.txt
  557.  
  558. $IPT -A FORWARD -i $INTIF -o $EXTIF -s 192.168.1.85 -d 211.5.103.26 -p tcp --syn --sport $HI_PORTS --dport 21 -m state --state NEW -j ACCEPT
  559. $IPT -A FORWARD -i $EXTIF -o $INTIF -s 211.5.103.26 -d 192.168.1.85 -p tcp ! --syn --sport 21 --dport $HI_PORTS -m state --state ESTABLISHED -j ACCEPT
  560. $IPT -A FORWARD -i $INTIF -o $EXTIF -s 192.168.1.85 -d 211.5.103.26 -p tcp ! --syn --sport $HI_PORTS --dport 21 -m state --state ESTABLISHED -j ACCEPT
  561. $IPT -A FORWARD -i $INTIF -o $EXTIF -s 192.168.1.85 -d 211.5.103.26 -p tcp --sport $HI_PORTS --dport $HI_PORTS -m state --state ESTABLISHED,RELATED -j ACCEPT
  562. $IPT -A FORWARD -i $EXTIF -o $INTIF -s 211.5.103.26 -d 192.168.1.85 -p tcp --sport $HI_PORTS --dport $HI_PORTS -m state --state ESTABLISHED,RELATED -j ACCEPT
  563.  
  564.  
  565. #---------------------
  566.  
  567. $IPT -A FORWARD -i $INTIF -o $EXTIF -s 192.168.1.23 -d 211.5.103.26 -p tcp --syn --sport $HI_PORTS --dport 10022 -m state --state NEW -j ACCEPT
  568. $IPT -A FORWARD -i $EXTIF -o $INTIF -s 211.5.103.26 -d 192.168.1.23 -p tcp ! --syn --sport 10022 --dport $HI_PORTS -m state --state ESTABLISHED -j ACCEPT
  569. $IPT -A FORWARD -i $INTIF -o $EXTIF -s 192.168.1.23 -d 211.5.103.26 -p tcp ! --syn --sport $HI_PORTS --dport 10022 -m state --state ESTABLISHED -j ACCEPT
  570. $IPT -A FORWARD -i $INTIF -o $EXTIF -s 192.168.1.23 -d 211.5.103.26 -p tcp --sport $HI_PORTS --dport $HI_PORTS -m state --state ESTABLISHED,RELATED -j ACCEPT
  571. $IPT -A FORWARD -i $EXTIF -o $INTIF -s 211.5.103.26 -d 192.168.1.23 -p tcp --sport $HI_PORTS --dport $HI_PORTS -m state --state ESTABLISHED,RELATED -j ACCEPT
  572.  
  573. $IPT -A FORWARD -i $INTIF -o $EXTIF -s 192.168.1.86 -d 211.5.103.26 -p tcp --syn --sport $HI_PORTS --dport 21 -m state --state NEW -j ACCEPT
  574. $IPT -A FORWARD -i $EXTIF -o $INTIF -s 211.5.103.26 -d 192.168.1.86 -p tcp ! --syn --sport 21 --dport $HI_PORTS -m state --state ESTABLISHED -j ACCEPT
  575. $IPT -A FORWARD -i $INTIF -o $EXTIF -s 192.168.1.86 -d 211.5.103.26 -p tcp ! --syn --sport $HI_PORTS --dport 21 -m state --state ESTABLISHED -j ACCEPT
  576. $IPT -A FORWARD -i $INTIF -o $EXTIF -s 192.168.1.86 -d 211.5.103.26 -p tcp --sport $HI_PORTS --dport $HI_PORTS -m state --state ESTABLISHED,RELATED -j ACCEPT
  577. $IPT -A FORWARD -i $EXTIF -o $INTIF -s 211.5.103.26 -d 192.168.1.86 -p tcp --sport $HI_PORTS --dport $HI_PORTS -m state --state ESTABLISHED,RELATED -j ACCEPT
  578.  
  579. #--------------------Access Ftp local ---------------------
  580.  
  581. $IPT -A FORWARD -i $INTIF -o $EXTIF -s 192.168.1.45 -d 118.70.184.228 -p tcp --syn --sport $HI_PORTS --dport 21 -m state --state NEW -j ACCEPT
  582. $IPT -A FORWARD -i $EXTIF -o $INTIF -s 118.70.184.228 -d 192.168.1.45 -p tcp ! --syn --sport 21 --dport $HI_PORTS -m state --state ESTABLISHED -j ACCEPT
  583. $IPT -A FORWARD -i $INTIF -o $EXTIF -s 192.168.1.45 -d 118.70.184.228 -p tcp ! --syn --sport $HI_PORTS --dport 21 -m state --state ESTABLISHED -j ACCEPT
  584. $IPT -A FORWARD -i $INTIF -o $EXTIF -s 192.168.1.45 -d 118.70.184.228 -p tcp --sport $HI_PORTS --dport $HI_PORTS -m state --state ESTABLISHED,RELATED -j ACCEPT
  585. $IPT -A FORWARD -i $EXTIF -o $INTIF -s 118.70.184.228 -d 192.168.1.45 -p tcp --sport $HI_PORTS --dport $HI_PORTS -m state --state ESTABLISHED,RELATED -j ACCEPT
  586.  
  587.  
  588. # Allow member Anlab access to ftp.jbm.jp
  589.  
  590. $IPT -A FORWARD -i $INTIF -o $EXTIF -s 192.168.1.23 -d 219.106.225.20 -p tcp --syn --sport $HI_PORTS --dport 21 -m state --state NEW -j ACCEPT
  591. $IPT -A FORWARD -i $EXTIF -o $INTIF -s 219.106.225.20 -d 192.168.1.23 -p tcp ! --syn --sport 21 --dport $HI_PORTS -m state --state ESTABLISHED -j ACCEPT
  592. $IPT -A FORWARD -i $INTIF -o $EXTIF -s 192.168.1.23 -d 219.106.225.20 -p tcp ! --syn --sport $HI_PORTS --dport 21 -m state --state ESTABLISHED -j ACCEPT
  593. $IPT -A FORWARD -i $INTIF -o $EXTIF -s 192.168.1.23 -d 219.106.225.20 -p tcp --sport $HI_PORTS --dport $HI_PORTS -m state --state ESTABLISHED,RELATED -j ACCEPT
  594. $IPT -A FORWARD -i $EXTIF -o $INTIF -s 219.106.225.20 -d 192.168.1.23 -p tcp --sport $HI_PORTS --dport $HI_PORTS -m state --state ESTABLISHED,RELATED -j ACCEPT
  595.  
  596. $IPT -A FORWARD -i $INTIF -o $EXTIF -s 192.168.1.24 -d 219.106.225.20 -p tcp --syn --sport $HI_PORTS --dport 21 -m state --state NEW -j ACCEPT
  597. $IPT -A FORWARD -i $EXTIF -o $INTIF -s 219.106.225.20 -d 192.168.1.24 -p tcp ! --syn --sport 21 --dport $HI_PORTS -m state --state ESTABLISHED -j ACCEPT
  598. $IPT -A FORWARD -i $INTIF -o $EXTIF -s 192.168.1.24 -d 219.106.225.20 -p tcp ! --syn --sport $HI_PORTS --dport 21 -m state --state ESTABLISHED -j ACCEPT
  599. $IPT -A FORWARD -i $INTIF -o $EXTIF -s 192.168.1.24 -d 219.106.225.20 -p tcp --sport $HI_PORTS --dport $HI_PORTS -m state --state ESTABLISHED,RELATED -j ACCEPT
  600. $IPT -A FORWARD -i $EXTIF -o $INTIF -s 219.106.225.20 -d 192.168.1.24 -p tcp --sport $HI_PORTS --dport $HI_PORTS -m state --state ESTABLISHED,RELATED -j ACCEPT
  601.  
  602. # Allow DungQV access to ftp.anlab.jp and ftp localhost
  603.  
  604. $IPT -A FORWARD -i $INTIF -o $EXTIF -s 192.168.1.23 -d 211.13.204.12 -p tcp --syn --sport $HI_PORTS --dport 21 -m state --state NEW -j ACCEPT
  605. $IPT -A FORWARD -i $EXTIF -o $INTIF -s 211.13.204.12 -d 192.168.1.23 -p tcp ! --syn --sport 21 --dport $HI_PORTS -m state --state ESTABLISHED -j ACCEPT
  606. $IPT -A FORWARD -i $INTIF -o $EXTIF -s 192.168.1.23 -d 211.13.204.12 -p tcp ! --syn --sport $HI_PORTS --dport 21 -m state --state ESTABLISHED -j ACCEPT
  607. $IPT -A FORWARD -i $INTIF -o $EXTIF -s 192.168.1.23 -d 211.13.204.12 -p tcp --sport $HI_PORTS --dport $HI_PORTS -m state --state ESTABLISHED,RELATED -j ACCEPT
  608. $IPT -A FORWARD -i $EXTIF -o $INTIF -s 211.13.204.12 -d 192.168.1.23 -p tcp --sport $HI_PORTS --dport $HI_PORTS -m state --state ESTABLISHED,RELATED -j ACCEPT
  609.  
  610. $IPT -A FORWARD -i $INTIF -o $EXTIF -s 192.168.1.23 -d 118.70.184.228 -p tcp --sport $HI_PORTS --dport $HI_PORTS -m state --state ESTABLISHED,RELATED -j ACCEPT
  611. $IPT -A FORWARD -i $EXTIF -o $INTIF -s 118.70.184.228 -d 192.168.1.23 -p tcp --sport $HI_PORTS --dport $HI_PORTS -m state --state ESTABLISHED,RELATED -j ACCEPT
  612.  
  613.  
  614. $IPT -A FORWARD -i $INTIF -o $EXTIF -s 192.168.1.244 -d 118.70.184.228 -p tcp --sport $HI_PORTS --dport $HI_PORTS -m state --state ESTABLISHED,RELATED -j ACCEPT
  615. $IPT -A FORWARD -i $EXTIF -o $INTIF -s 118.70.184.228 -d 192.168.1.244 -p tcp --sport $HI_PORTS --dport $HI_PORTS -m state --state ESTABLISHED,RELATED -j ACCEPT
  616.  
  617. # Allow anh DungDK, anh VietHa access to SVN port 8082
  618.  
  619. $IPT -A FORWARD -i $INTIF -o $EXTIF -s 192.168.1.77 -d 118.69.220.91 -p tcp --syn --sport $HI_PORTS --dport 8082 -m state --state NEW -j ACCEPT
  620. $IPT -A FORWARD -i $EXTIF -o $INTIF -s 118.69.220.91 -d 192.168.1.77 -p tcp ! --syn --sport 8082 --dport $HI_PORTS -m state --state ESTABLISHED -j ACCEPT
  621. $IPT -A FORWARD -i $INTIF -o $EXTIF -s 192.168.1.77 -d 118.69.220.91 -p tcp ! --syn --sport $HI_PORTS --dport 8082 -m state --state ESTABLISHED -j ACCEPT
  622.  
  623. # Allow user access to bidv.vn port 81
  624.  
  625. $IPT -A FORWARD -i $INTIF -o $EXTIF -s $INTNET -d 203.201.58.179 -p tcp --syn --sport $HI_PORTS --dport 81 -m state --state NEW -j ACCEPT
  626. $IPT -A FORWARD -i $EXTIF -o $INTIF -s 203.201.58.179 -d $INTNET -p tcp ! --syn --sport 81 --dport $HI_PORTS -m state --state ESTABLISHED -j ACCEPT
  627. $IPT -A FORWARD -i $INTIF -o $EXTIF -s $INTNET -d 203.201.58.179 -p tcp ! --syn --sport $HI_PORTS --dport 81 -m state --state ESTABLISHED -j ACCEPT
  628.  
  629. $IPT -A FORWARD -i $INTIF -o $EXTIF -s $INTNET -d 203.201.59.179 -p tcp --syn --sport $HI_PORTS --dport 81 -m state --state NEW -j ACCEPT
  630. $IPT -A FORWARD -i $EXTIF -o $INTIF -s 203.201.59.179 -d $INTNET -p tcp ! --syn --sport 81 --dport $HI_PORTS -m state --state ESTABLISHED -j ACCEPT
  631. $IPT -A FORWARD -i $INTIF -o $EXTIF -s $INTNET -d 203.201.59.179 -p tcp ! --syn --sport $HI_PORTS --dport 81 -m state --state ESTABLISHED -j ACCEPT
  632.  
  633. $IPT -A FORWARD -i $INTIF -o $EXTIF -s $INTNET -d 203.201.56.100 -p tcp --syn --sport $HI_PORTS --dport 81 -m state --state NEW -j ACCEPT
  634. $IPT -A FORWARD -i $EXTIF -o $INTIF -s 203.201.56.100 -d $INTNET -p tcp ! --syn --sport 81 --dport $HI_PORTS -m state --state ESTABLISHED -j ACCEPT
  635. $IPT -A FORWARD -i $INTIF -o $EXTIF -s $INTNET -d 203.201.56.100 -p tcp ! --syn --sport $HI_PORTS --dport 81 -m state --state ESTABLISHED -j ACCEPT
  636.  
  637. # Allow user access to some new port
  638.  
  639. $IPT -A FORWARD -i $INTIF -o $EXTIF -s $INTNET -d 54.235.64.71 -p tcp --syn --sport $HI_PORTS --dport 9000 -m state --state NEW -j ACCEPT
  640. $IPT -A FORWARD -i $EXTIF -o $INTIF -s 54.235.64.71 -d $INTNET -p tcp ! --syn --sport 9000 --dport $HI_PORTS -m state --state ESTABLISHED -j ACCEPT
  641. $IPT -A FORWARD -i $INTIF -o $EXTIF -s $INTNET -d 54.235.64.71 -p tcp ! --syn --sport $HI_PORTS --dport 9000 -m state --state ESTABLISHED -j ACCEPT
  642.  
  643.  
  644. # Allow ssh to Proxy Server
  645.  
  646. #$IPT -A FORWARD -i $INTIF -o $DMZIF -s $INTNET -d $SQUID -p tcp --syn --sport $HI_PORTS --dport 22 -m state --state NEW -j ACCEPT
  647. #$IPT -A FORWARD -i $DMZIF -o $INTIF -s $SQUID -d $INTNET -p tcp ! --syn --sport 22 --dport $HI_PORTS -m state --state ESTABLISHED -j ACCEPT
  648. #$IPT -A FORWARD -i $INTIF -o $DMZIF -s $INTNET -d $SQUID -p tcp ! --syn --sport $HI_PORTS --dport 22 -m state --state ESTABLISHED -j ACCEPT
  649.  
  650. # Test Squid
  651.  
  652. #$IPT -A FORWARD -i $INTIF -o $DMZIF -s 192.168.1.23 -d $SQUID -p tcp --sport $HI_PORTS --dport 8080 -j ACCEPT
  653. #$IPT -A FORWARD -i $DMZIF -o $INTIF -s $SQUID -d 192.168.1.23 -p tcp --sport 8080 --dport $HI_PORTS -j ACCEPT
  654. #$IPT -t nat -A PREROUTING -i $INTIF -s 192.168.1.23 -p tcp --sport $HI_PORTS --dport 80 -j DNAT --to $SQUID:8080
  655. #$IPT -t nat -A POSTROUTING -o $DMZIF -s 192.168.1.23 -d $SQUID -j SNAT --to $DMZIP
  656.  
  657. #$IPT -A FORWARD -i $INTIF -o $DMZIF -s 192.168.1.0/24 -d $SQUID -p tcp --sport $HI_PORTS --dport 8080 -j ACCEPT
  658. #$IPT -A FORWARD -i $DMZIF -o $INTIF -s $SQUID -d 192.168.1.0/24 -p tcp --sport 8080 --dport $HI_PORTS -j ACCEPT
  659. #$IPT -t nat -A PREROUTING -i $INTIF -s 192.168.1.0/24 -p tcp --sport $HI_PORTS --dport 80 -j DNAT --to $SQUID:8080
  660. #$IPT -t nat -A PREROUTING -i $INTIF -s $ips -p tcp --sport $HI_PORTS --dport 443 -j DNAT --to $SQUID:8182
  661. #$IPT -t nat -A POSTROUTING -o $DMZIF -s 192.168.1.0/24 -d $SQUID -j SNAT --to $DMZIP
  662.  
  663. # Allow Lan use some services via TCP ports
  664.  
  665. for ports in $TCP_PORT; do
  666.  
  667. $IPT -A FORWARD -i $INTIF -o $EXTIF -s $INTNET -d $EXTNET -p tcp --sport $HI_PORTS --dport $ports -j ACCEPT
  668. $IPT -A FORWARD -i $EXTIF -o $INTIF -s $EXTNET -d $INTNET -p tcp --sport $ports --dport $HI_PORTS -j ACCEPT
  669.  
  670. done
  671.  
  672. $IPT -A FORWARD -i $INTIF -o $EXTIF -s 192.168.1.14 -d $EXTNET -p tcp --sport $HI_PORTS --dport 5500 -j ACCEPT
  673. $IPT -A FORWARD -i $EXTIF -o $INTIF -s $EXTNET -d 192.168.1.14 -p tcp --sport 5500 --dport $HI_PORTS -j ACCEPT
  674.  
  675. $IPT -A FORWARD -i $INTIF -o $EXTIF -s 192.168.1.146 -d $EXTNET -p tcp --sport $HI_PORTS --dport 3922 -j ACCEPT
  676. $IPT -A FORWARD -i $EXTIF -o $INTIF -s $EXTNET -d 192.168.1.146 -p tcp --sport 3922 --dport $HI_PORTS -j ACCEPT
  677.  
  678. $IPT -A FORWARD -i $INTIF -o $EXTIF -s 192.168.1.23 -d $EXTNET -p tcp --sport $HI_PORTS --dport 500 -j ACCEPT
  679. $IPT -A FORWARD -i $EXTIF -o $INTIF -s $EXTNET -d 192.168.1.23 -p tcp --sport 500 --dport $HI_PORTS -j ACCEPT
  680.  
  681. $IPT -A FORWARD -i $INTIF -o $EXTIF -s 192.168.1.23 -d $EXTNET -p tcp --sport $HI_PORTS --dport 4500 -j ACCEPT
  682. $IPT -A FORWARD -i $EXTIF -o $INTIF -s $EXTNET -d 192.168.1.23 -p tcp --sport 4500 --dport $HI_PORTS -j ACCEPT
  683.  
  684. $IPT -A FORWARD -i $INTIF -o $EXTIF -s 192.168.1.64 -d $EXTNET -p tcp --sport $HI_PORTS --dport 8888 -j ACCEPT
  685. $IPT -A FORWARD -i $EXTIF -o $INTIF -s $EXTNET -d 192.168.1.64 -p tcp --sport 8888 --dport $HI_PORTS -j ACCEPT
  686.  
  687. # Allow Lan use some MAIL ports
  688.  
  689. for ports in $MAIL_PORT; do
  690.  
  691. $IPT -A FORWARD -i $INTIF -o $EXTIF -s $INTNET -d $EXTNET -p tcp --sport $HI_PORTS --dport $ports -j ACCEPT
  692. $IPT -A FORWARD -i $EXTIF -o $INTIF -s $EXTNET -d $INTNET -p tcp --sport $ports --dport $HI_PORTS -j ACCEPT
  693. done
  694.  
  695. $IPT -A FORWARD -i $INTIF -o $EXTIF -s 192.168.1.164 -d $EXTNET -p tcp --sport $HI_PORTS --dport $ports -j ACCEPT
  696. $IPT -A FORWARD -i $EXTIF -o $INTIF -s $EXTNET -d 192.168.1.164 -p tcp --sport $ports --dport $HI_PORTS -j ACCEPT
  697.  
  698. $IPT -A FORWARD -i $INTIF -o $EXTIF -s 192.168.1.97 -d $EXTNET -p tcp --sport $HI_PORTS --dport $ports -j ACCEPT
  699. $IPT -A FORWARD -i $EXTIF -o $INTIF -s $EXTNET -d 192.168.1.97 -p tcp --sport $ports --dport $HI_PORTS -j ACCEPT
  700.  
  701. $IPT -A FORWARD -i $INTIF -o $EXTIF -s 192.168.1.143 -d $EXTNET -p tcp --sport $HI_PORTS --dport $ports -j ACCEPT
  702. $IPT -A FORWARD -i $EXTIF -o $INTIF -s $EXTNET -d 192.168.1.143 -p tcp --sport $ports --dport $HI_PORTS -j ACCEPT
  703.  
  704. # Allow VPN to BookPhoto Customer
  705.  
  706. $IPT -A FORWARD -i $INTIF -o $EXTIF -s 192.168.1.10 -d $EXTNET -p udp --sport $HI_PORTS --dport 4500 -j ACCEPT
  707. $IPT -A FORWARD -i $EXTIF -o $INTIF -s $EXTNET -d 192.168.1.10 -p udp --sport 4500 --dport $HI_PORTS -j ACCEPT
  708. $IPT -A FORWARD -i $INTIF -o $EXTIF -s 192.168.1.10 -d $EXTNET -p esp -j ACCEPT
  709. $IPT -A FORWARD -i $EXTIF -o $INTIF -d 192.168.1.10 -s $EXTNET -p esp -j ACCEPT
  710. $IPT -A FORWARD -i $INTIF -o $EXTIF -s 192.168.1.10 -d $EXTNET -p udp --sport 500 --dport 500 -j ACCEPT
  711. $IPT -A FORWARD -i $EXTIF -o $INTIF -d 192.168.1.10 -s $EXTNET -p udp --sport 500 --dport 500 -j ACCEPT
  712.  
  713. # Allow Lan, Squid to access to Internet
  714.  
  715. $IPT -t nat -A POSTROUTING -o $EXTIF -s $VPNNET -d $EXTNET -j SNAT --to $EXTIP
  716. $IPT -A FORWARD -i $VPNIF -o $EXTIF -s $VPNNET -d $EXTNET -p tcp --dport 80 -m state --state NEW,ESTABLISHED -j ACCEPT
  717. $IPT -A FORWARD -i $EXTIF -o $VPNIF -s $EXTNET -d $VPNNET -p tcp --sport 80 -m state --state ESTABLISHED -j ACCEPT
  718. $IPT -A FORWARD -i $VPNIF -o $EXTIF -s $VPNNET -d $EXTNET -p tcp --dport 443 -m state --state NEW,ESTABLISHED -j ACCEPT
  719. $IPT -A FORWARD -i $EXTIF -o $VPNIF -s $EXTNET -d $VPNNET -p tcp --sport 443 -m state --state ESTABLISHED -j ACCEPT
  720. $IPT -A FORWARD -i $VPNIF -o $EXTIF -s $VPNNET -d $EXTNET -p icmp --icmp-type 8 -m state --state NEW,ESTABLISHED -j ACCEPT
  721. $IPT -A FORWARD -i $EXTIF -o $VPNIF -s $EXTNET -d $VPNNET -p icmp --icmp-type 0 -m state --state ESTABLISHED -j ACCEPT
  722.  
  723. $IPT -t nat -A POSTROUTING -o $EXTIF -s $INTNET -d $EXTNET -j SNAT --to $EXTIP
  724.  
  725. # Log & block another INPUT, FORWARD, OUTPUT
  726.  
  727. $IPT -A INPUT -i $INTIF -m limit --limit 1/s -j LOG --log-level 7 --log-prefix "BAD_IN: "
  728. $IPT -A INPUT -i $INTIF -j DROP
  729.  
  730. $IPT -A FORWARD -i $EXTIF -o $INTIF -m limit --limit 1/s -j LOG --log-level 7 --log-prefix "BAD_FORWARD_IN: "
  731. $IPT -A FORWARD -i $EXTIF -o $INTIF -j DROP
  732. $IPT -A FORWARD -i $INTIF -o $EXTIF -m limit --limit 1/s -j LOG --log-level 7 --log-prefix "BAD_FORWARD_OUT: "
  733. $IPT -A FORWARD -i $INTIF -o $EXTIF -j DROP
  734.  
  735. $IPT -A OUTPUT -o $EXTIF -m limit --limit 1/s -j LOG --log-level 7 --log-prefix "BAD_OUT: "
  736. $IPT -A OUTPUT -o $EXTIF -j DROP
Advertisement
Add Comment
Please, Sign In to add comment
Advertisement
Public Pastes
Advertisement
We use cookies for various purposes including analytics. By continuing to use Pastebin, you agree to our use of cookies as described in the Cookies Policy.  OK, I Understand
Not a member of Pastebin yet?
Sign Up, it unlocks many cool features!