firewall-iptables

#!/bin/bash
## SCRIPT de IPTABLES
##Script para proteger la propia máquina con DROP por defecto

## FLUSH de reglas
/sbin/iptables -F
/sbin/iptables -X
/sbin/iptables -Z
/sbin/iptables -t nat -F

## Establecemos politica por defecto: DROP
/sbin/iptables -P INPUT DROP
/sbin/iptables -P OUTPUT DROP
/sbin/iptables -P FORWARD DROP

## Empezamos  a abrir porque ahora esta TODO denegado.
## Debemos decir de manera explicita qué es lo que queremos abrir

## Operar en localhost sin limitaciones
/sbin/iptables -A INPUT -i lo -j ACCEPT
/sbin/iptables -A OUTPUT -o lo -j ACCEPT

## A nuestra IP le permitimos todo
iptables -A INPUT -s 192.168.1.2/255.255.255.0 -j ACCEPT
iptables -A OUTPUT -d 192.168.1.2/255.255.255.0 -j ACCEPT

## Hosts bloqueados
/sbin/iptables -A INPUT -s XXX.XXX.XXX.XXX -j DROP
/sbin/iptables -A OUTPUT -d XXX.XXX.XXX.XXX -j DROP
/sbin/iptables -A INPUT -s  54.245.112.177 -j DROP
/sbin/iptables -A OUTPUT -d  54.245.112.177 -j DROP

## Este es el servicio que da internet a la maquina,   todo paquete entrante se acepta y los salientes vinculados.
/sbin/iptables -A INPUT  -p tcp --dport 80 -m state --state NEW,ESTABLISHED,RELATED  -j ACCEPT
/sbin/iptables -A OUTPUT  -p tcp --sport 80 -m state --state ESTABLISHED,RELATED -j ACCEPT

## Permitimos que la maquina pueda salir a la web
/sbin/iptables -A INPUT -p tcp --sport 80 -m state --state ESTABLISHED,RELATED -j ACCEPT
/sbin/iptables -A OUTPUT -p tcp --dport 80 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT


## Y tambien a webs seguras - Incoming
/sbin/iptables -A INPUT -p tcp --dport 443 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
/sbin/iptables -A OUTPUT -p tcp --sport 443 -m state --state ESTABLISHED,RELATED -j ACCEPT

## Y tambien a web seguras - Outgoing
/sbin/iptables -A INPUT -p tcp --sport 443 -m state --state ESTABLISHED,RELATED -j ACCEPT
/sbin/iptables -A OUTPUT -p tcp --dport 443 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT


## Permitimos la consulta a un primer DNS
/sbin/iptables -A INPUT -p udp -m udp --sport 53 -j ACCEPT
/sbin/iptables -A OUTPUT -p udp -m udp --dport 53 -j ACCEPT

## Puertos para correo e IMAP
/sbin/iptables -A INPUT -p tcp --sport 110 -m state --state ESTABLISHED,RELATED -j ACCEPT
/sbin/iptables -A OUTPUT -p tcp --dport 110 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
/sbin/iptables -A INPUT -p tcp --sport 995 -m state --state ESTABLISHED,RELATED -j ACCEPT
/sbin/iptables -A OUTPUT -p tcp --dport 995 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
/sbin/iptables -A INPUT -p tcp --sport 465 -m state --state ESTABLISHED,RELATED -j ACCEPT
/sbin/iptables -A OUTPUT -p tcp --dport 465 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
/sbin/iptables -A INPUT -p tcp --sport 25 -m state --state ESTABLISHED,RELATED -j ACCEPT
/sbin/iptables -A OUTPUT -p tcp --dport 25 -m state --state NEW,ESTABLISHED,RELATED   -j ACCEPT
/sbin/iptables -A INPUT -p tcp --sport 143 -m state --state ESTABLISHED,RELATED -j ACCEPT
/sbin/iptables -A OUTPUT -p tcp --dport 143 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
/sbin/iptables -A INPUT -p tcp --sport 993 -m state --state ESTABLISHED,RELATED -j ACCEPT
/sbin/iptables -A OUTPUT -p tcp --dport 993 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT

## SALIDA FTP - Para que el servidor se pueda conectar a FTP
/sbin/iptables -A INPUT -p tcp --dport 21 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
/sbin/iptables -A OUTPUT -p tcp --sport 21 -m state --state ESTABLISHED,RELATED -j ACCEPT

## Ftp activo
/sbin/iptables -A INPUT -p tcp --dport 20 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
/sbin/iptables -A OUTPUT -p tcp --sport 20 -m state --state ESTABLISHED,RELATED -j ACCEPT

## Ftp pasivo
/sbin/iptables -A INPUT -p tcp -m tcp  --dport 1024:65535 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
/sbin/iptables -A OUTPUT -p tcp -m tcp --sport 1024:65535 -m state --state ESTABLISHED,RELATED -j ACCEPT
/sbin/iptables -A INPUT -p tcp -m tcp  --sport 1024:65535 -m state --state ESTABLISHED,RELATED -j ACCEPT
/sbin/iptables -A OUTPUT -p tcp -m tcp --dport 1024:65535 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT

## Puertos UDP para transmission
/sbin/iptables -A INPUT -p udp --dport 80 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
/sbin/iptables -A OUTPUT -p udp --sport 80 -m state --state ESTABLISHED,RELATED -j ACCEPT
/sbin/iptables -A INPUT -p udp --sport 80 -m state --state ESTABLISHED,RELATED -j ACCEPT
/sbin/iptables -A OUTPUT -p udp --dport 80  -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
/sbin/iptables -A INPUT -p udp -m udp --dport 1024:65535 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
/sbin/iptables -A OUTPUT -p udp -m udp --sport 1024:65535 -m state --state ESTABLISHED,RELATED -j ACCEPT
/sbin/iptables -A INPUT -p udp --sport 1024:65535 -m state --state ESTABLISHED,RELATED -j ACCEPT
/sbin/iptables -A OUTPUT -p udp --dport 1024:65535 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT

## Barrera de backup por si cambiamos a modo ACCEPT temporalmente
## Con esto protegemos los puertos reservados y otros conocidos por ser utilizados por hackers
/sbin/iptables -A INPUT -p tcp -m tcp --dport 1:1024 -j DROP
/sbin/iptables -A INPUT -p udp -m udp --dport 1:1024 -j DROP
/sbin/iptables -A INPUT -p tcp -m tcp --dport 1723 -j DROP
/sbin/iptables -A INPUT -p udp -m udp --dport 1723 -j DROP
/sbin/iptables -A INPUT -p tcp -m tcp --dport 3306 -j DROP
/sbin/iptables -A INPUT -p udp -m udp --dport 3306 -j DROP
/sbin/iptables -A INPUT -p tcp -m tcp --dport 5432 -j DROP
/sbin/iptables -A INPUT -p udp -m udp --dport 5432 -j DROP
/sbin/iptables -A INPUT -p tcp -m tcp --dport 31337:31340 -j DROP
/sbin/iptables -A INPUT -p udp -m udp --dport 31337:31340 -j DROP

exit