/etc/network/iptables.up.rules

cat /etc/network/iptables.up.rules
*nat
:PREROUTING ACCEPT
:INPUT ACCEPT
:OUTPUT ACCEPT
:POSTROUTING ACCEPT

#-A POSTROUTING -o eth0 -j MASQUERADE

COMMIT


*filter
:INPUT DROP
:FORWARD DROP
:OUTPUT ACCEPT

:IMSCP_INPUT -
:IMSCP_OUTPUT -
:internet_input -
:internet_forward -
:portsentry -


:monitorix_IN_0 -
:monitorix_IN_1 -
:monitorix_IN_2 -
:monitorix_IN_3 -
:monitorix_IN_4 -
:monitorix_IN_5 -
:monitorix_IN_6 -
:monitorix_IN_7 -
:monitorix_IN_8 -
-A INPUT -p tcp -m tcp --sport 1024:65535 --dport 143 -m conntrack --ctstate NEW,RELATED,ESTABLISHED -j monitorix_IN_8
-A INPUT -p udp -m udp --sport 1024:65535 --dport 53 -m conntrack --ctstate NEW,RELATED,ESTABLISHED -j monitorix_IN_7
-A INPUT -p tcp -m tcp --sport 1024:65535 --dport 3306 -m conntrack --ctstate NEW,RELATED,ESTABLISHED -j monitorix_IN_6
-A INPUT -p tcp -m tcp --sport 1024:65535 --dport 139 -m conntrack --ctstate NEW,RELATED,ESTABLISHED -j monitorix_IN_5
-A INPUT -p tcp -m tcp --sport 1024:65535 --dport 110 -m conntrack --ctstate NEW,RELATED,ESTABLISHED -j monitorix_IN_4
-A INPUT -p tcp -m tcp --sport 1024:65535 --dport 22 -m conntrack --ctstate NEW,RELATED,ESTABLISHED -j monitorix_IN_3
-A INPUT -p tcp -m tcp --sport 1024:65535 --dport 80 -m conntrack --ctstate NEW,RELATED,ESTABLISHED -j monitorix_IN_2
-A INPUT -p tcp -m tcp --sport 1024:65535 --dport 21 -m conntrack --ctstate NEW,RELATED,ESTABLISHED -j monitorix_IN_1
-A INPUT -p tcp -m tcp --sport 1024:65535 --dport 25 -m conntrack --ctstate NEW,RELATED,ESTABLISHED -j monitorix_IN_0


###
### INPUT
###




-A INPUT -i lo -j ACCEPT
-A INPUT -m conntrack --ctstate INVALID -j DROP
-A INPUT -i eth0 -p icmp --icmp-type echo-request -m recent --name internet_ping --set --rsource
-A INPUT -i eth0 -p icmp --icmp-type echo-request -m recent --name internet_ping --update --hitcount 5 --seconds 60 --rsource -j DROP
-A INPUT -i eth0 -p icmp --icmp-type echo-request -j ACCEPT
-A INPUT -m conntrack --ctstate ESTABLISHED -j ACCEPT
-A INPUT -j portsentry
-A INPUT -i eth0 -p tcp -m tcp --dport 1234 -m conntrack --ctstate NEW -j ACCEPT
-A FORWARD -m conntrack --ctstate INVALID -j DROP
-A FORWARD -m conntrack --ctstate ESTABLISHED -j ACCEPT

-A INPUT -i eth0 -j internet_input

-A OUTPUT ! -o lo -j IMSCP_OUTPUT

-A IMSCP_INPUT -j RETURN
-A OUTPUT -p tcp -m tcp --sport 143 --dport 1024:65535 -m conntrack --ctstate RELATED,ESTABLISHED -j monitorix_IN_8
-A OUTPUT -p udp -m udp --sport 53 --dport 1024:65535 -m conntrack --ctstate RELATED,ESTABLISHED -j monitorix_IN_7
-A OUTPUT -p tcp -m tcp --sport 3306 --dport 1024:65535 -m conntrack --ctstate RELATED,ESTABLISHED -j monitorix_IN_6
-A OUTPUT -p tcp -m tcp --sport 139 --dport 1024:65535 -m conntrack --ctstate RELATED,ESTABLISHED -j monitorix_IN_5
-A OUTPUT -p tcp -m tcp --sport 110 --dport 1024:65535 -m conntrack --ctstate RELATED,ESTABLISHED -j monitorix_IN_4
-A OUTPUT -p tcp -m tcp --sport 22 --dport 1024:65535 -m conntrack --ctstate RELATED,ESTABLISHED -j monitorix_IN_3
-A OUTPUT -p tcp -m tcp --sport 80 --dport 1024:65535 -m conntrack --ctstate RELATED,ESTABLISHED -j monitorix_IN_2
-A OUTPUT -p tcp -m tcp --sport 21 --dport 1024:65535 -m conntrack --ctstate RELATED,ESTABLISHED -j monitorix_IN_1
-A OUTPUT -p tcp -m tcp --sport 25 --dport 1024:65535 -m conntrack --ctstate RELATED,ESTABLISHED -j monitorix_IN_0



-A INPUT -p tcp --dport 587 -j ACCEPT
-A INPUT -p udp --dport 465 -j ACCEPT
-A INPUT -p tcp --dport 25 -j ACCEPT
-A INPUT -p tcp --dport 21 -j ACCEPT
-A INPUT -p tcp --dport 20 -j ACCEPT
-A INPUT -p tcp --dport 993 -j ACCEPT
-A INPUT -p tcp --dport 995 -j ACCEPT
-A INPUT -p tcp --dport 587 -j ACCEPT
-A INPUT -p tcp --dport 465 -j ACCEPT
-A INPUT -p tcp --dport 25 -j ACCEPT
-A INPUT -p tcp --dport 143 -j ACCEPT
-A INPUT -p tcp --dport 110 -j ACCEPT
-A INPUT -p tcp --dport 443 -j ACCEPT
-A INPUT -p tcp --dport 80 -j ACCEPT
-A INPUT -p tcp --dport 4443 -j ACCEPT
-A INPUT -p tcp --dport 8080 -j ACCEPT
-A INPUT -p tcp --dport 1234 -j ACCEPT





###
### ALL INPUT
###
#-A INPUT -j LOG

###
### FORWARD
###
-A FORWARD -j LOG
-A FORWARD -j portsentry
-A FORWARD -m state --state INVALID -j DROP


-A internet_input -p tcp -m tcp --dport ssh -m limit --limit 3/minute --limit-burst 5 -j LOG --log-level warning --log-prefix "SSH Attack: "

-A IMSCP_OUTPUT -p tcp -m tcp --dport 587
-A IMSCP_OUTPUT -p tcp -m tcp --dport 465
-A IMSCP_OUTPUT -p tcp -m tcp --dport 25
-A IMSCP_OUTPUT -p tcp -m tcp --sport 21
-A IMSCP_OUTPUT -p tcp -m tcp --sport 20
-A IMSCP_OUTPUT -p tcp -m tcp --sport 993
-A IMSCP_OUTPUT -p tcp -m tcp --sport 995
-A IMSCP_OUTPUT -p tcp -m tcp --sport 587
-A IMSCP_OUTPUT -p tcp -m tcp --sport 465
-A IMSCP_OUTPUT -p tcp -m tcp --sport 25
-A IMSCP_OUTPUT -p tcp -m tcp --sport 143
-A IMSCP_OUTPUT -p tcp -m tcp --sport 110
-A IMSCP_OUTPUT -p tcp -m tcp --sport 443
-A IMSCP_OUTPUT -p tcp -m tcp --sport 80
-A IMSCP_OUTPUT -p tcp -m tcp --sport 4443
-A IMSCP_OUTPUT -p tcp -m tcp --sport 8080
-A IMSCP_OUTPUT -j RETURN


-A internet_forward -j ACCEPT


COMMIT