budacsik

#!/bin/bash

# Ez a t�zfal szkript, csak otthoni ig�nyeket k�pes kiel�g�teni.
# Szerver g�pre nem aj�nlott!!
#
# Haszn�lata:
# Alap�rtelmezetten meg vannak adva az �ltal�nosan haszn�lt TCP
# �s UDP portok. Ha valami nem szerepel a list�ban, sz�k�zzel el-
# v�lasztva hozz� kell �rni a megfelel�; helye a "Kimen� portok
# megad�sa" r�szn�l.
#
# Loggol�s be�ll�t�sa. Minden eldobott csomagot loggol a szkript.
# Ennek meg lehet adni a gyakoris�g�t:
# TIMES  = a megadott �rt�ketet m�sodperc vagy perc-ben �rtse
# LIMIT  = Megadott id� egys�g alatt (s vagy m) h�ny darab il-
#          leszked�s lehet.
# BURST  = Egy illeszkedes alkalm�val, h�ny db csomagot napl�z.
# P�lda TIMES="s", LIMIT="3", BURST="5"
# Ez azt jelenti, hogy egy m�sodperc alatt 3 illeszked�s elfogadott
# egy illeszked�senk�nt 5 csomagot napl�z. Vagyis, m�sodpercenk�nt
# maximum 3x15=45 napl�zott csomag lehets�ges.
#
# Created by budacsik (budacsik@gmail.com)
# At 2009-04-18 4:38 AM

# iptables parancs megkeresese
IPTABLES=$(which iptables)

# Kimen� portok megad�sa
OUT_TCP="20 21 22 25 80 110 143 443 465 993 995 1863"
OUT_UDP="53 123"

# Loggol�s be�ll�t�sa(s = m�sodperc, m = perc)
TIMES="s"
LIMIT="5"
BURST="5"

# modulok betolltese
modprobe ip_conntrack_ftp

# L�ncok t�rl�se, �r�t�se, �s alap�rtelmezett szab�ly be�ll�t�sa.
$IPTABLES -F
$IPTABLES -X
$IPTABLES -t nat -F
$IPTABLES -t nat -X
$IPTABLES -t mangle -F
$IPTABLES -t mangle -X
$IPTABLES -P INPUT DROP
$IPTABLES -P OUTPUT DROP
$IPTABLES -P FORWARD DROP



# -----------------------------------------------------------------------------------------------------------------------
# INPUT
$IPTABLES -A INPUT -i lo -j ACCEPT
# Mar ki�p�tett kapcsolatokhoz tartoz� csomagok beenged�se. (�llapotk�vet�s)
$IPTABLES -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
# Beengedjuk a ping-re kapott valszokat, de csak masodpercenkent 1-et. Bőven el�g.
$IPTABLES -A INPUT -p icmp --icmp-type echo-reply -m limit --limit 1/s --limit-burst 1 -j ACCEPT
$IPTABLES -A INPUT -m limit --limit ${LIMIT}/${TIMES} --limit-burst $BURST -j LOG --log-prefix "INPUT_DROP: "
$IPTABLES -A INPUT -j DROP



# -----------------------------------------------------------------------------------------------------------------------
# OUTPUT
$IPTABLES -A OUTPUT -o lo -j ACCEPT
# Mar ki�p�tett kapcsolatokhoz tartoz� csomagok kienged�se. (�llapotk�vet�s)
$IPTABLES -A OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

# TCP portok kiengedese. 465 = SMTP over SSL
if test -n "$OUT_TCP"; then
    for t in $OUT_TCP; do
    $IPTABLES -A OUTPUT -p tcp --dport $t -m state --state NEW -j ACCEPT
    done
fi
# UDP portok kienged�se
if test -n "$OUT_UDP"; then
    for u in $OUT_UDP; do
    $IPTABLES -A OUTPUT -p udp --dport $u -j ACCEPT
    done
fi
# Ping-et kiengedj�k
$IPTABLES -A OUTPUT -p icmp --icmp-type echo-request -j ACCEPT
$IPTABLES -A OUTPUT -m limit --limit  ${LIMIT}/${TIMES} --limit-burst $BURST -j LOG --log-prefix "OUTPUT_DROP: "
$IPTABLES -A OUTPUT -j DROP

# T�zfal ment�se
if test -r /etc/iptables.rules; then
    rm -f /etc/iptables.rules
fi

iptables-save -c > /etc/iptables.rules
if test -r /etc/iptables.rules; then
    echo "T�zfal ment�se sikeres!"
fi