Iptables Firewall

14 Jul 2001

      Guten Tag,

ich bin dabei eine Firewall mit Iptables aufzubauen. Doch ich finde im
Internet keine richtigen Beispiel Firewalls.

Ich kann von meiner Firewall nicht pingen, woran könnte das liegen?
Wie ist die Regel für den Ping?

Firewall:

#!/bin/bash

IPTABLES=/usr/sbin/iptables
DEV_LOC=eth0
DEV_EXT=ppp0

for IF in $DEV_LOC $DEV_EXT ; do
echo "1" > /proc/sys/net/ipv4/conf/$IF/rp_filter
echo "0" > /proc/sys/net/ipv4/conf/$IF/accept_redirects
echo "0" > /proc/sys/net/ipv4/conf/$IF/accept_source_route
echo "0" > /proc/sys/net/ipv4/conf/$IF/bootp_relay
echo "1" > /proc/sys/net/ipv4/conf/$IF/log_martians
done

echo "1" > /proc/sys/net/ipv4/icmp_echo_ignore_broadcasts
echo "1" > /proc/sys/net/ipv4/icmp_ignore_bogus_error_responses
echo "5" > /proc/sys/net/ipv4/icmp_destunreach_rate
echo "5" > /proc/sys/net/ipv4/icmp_echoreply_rate
echo "5" > /proc/sys/net/ipv4/icmp_paramprob_rate
echo "10" > /proc/sys/net/ipv4/icmp_timeexceed_rate

echo -n "start firewall"

$IPTABLES -P INPUT DROP
$IPTABLES -P OUTPUT DROP
$IPTABLES -P FORWARD DROP

$IPTABLES -F
$IPTABLES -t nat -F
$IPTABLES -X

$IPTABLES -A OUTPUT -o lo -j ACCEPT
$IPTABLES -A INPUT -i lo -j ACCEPT

$IPTABLES -N nirwana
$IPTABLES -A nirwana -p TCP -j LOG --log-prefix "NIRWANA: TCP "
$IPTABLES -A nirwana -p UDP -j LOG --log-prefix "NIRWANA: UDP "
$IPTABLES -A nirwana -p ICMP -j LOG --log-prefix "NIRWANA: ICMP "
$IPTABLES -A nirwana -p TCP -j DROP

echo "1" > /proc/sys/net/ipv4/ip_dynaddr
echo "1" > /proc/sys/net/ipv4/ip_forward
$IPTABLES -t nat -A POSTROUTING -o $DEV_EXT -j MASQUERADE

$IPTABLES -A FORWARD -i $DEV_LOC -o $DEV_EXT -m state --state
ESTABLISHED,RELATED -j ACCEPT
$IPTABLES -A FORWARD -i $DEV_EXT -o $DEV_LOC -m state --state
ESTABLISHED,RELATED -j ACCEPT
$IPTABLES -A FORWARD -i $DEV_EXT -o $DEV_LOC -m state --state NEW,INVALID -j
nirwana

echo -n "start firewall6"
echo -n "start firewall7"

$IPTABLES -A FORWARD -o $DEV_EXT -p tcp --sport 1024:65535 --dport ftp -m
state --state NEW -j ACCEPT

$IPTABLES -A FORWARD -o $DEV_EXT -p tcp --sport 1024:65535 --dport
1024:65535 -m state --state NEW -j ACCEPT

$IPTABLES -A FORWARD -o $DEV_EXT -p ICMP --icmp-type echo-request -j ACCEPT

# DNS

# IP-Adresse des Nameserver beim ISP: 194.64.64.1
$IPTABLES -A FORWARD -o $DEV_EXT -p tcp --sport 1024:65535 --dport domain -d
217.237.159.193 -m state --state NEW -j ACCEPT
$IPTABLES -A FORWARD -o $DEV_EXT -p udp --sport 1024:65535 --dport domain -d
217.237.159.193 -m state --state NEW -j ACCEPT

# SMTP: ausgehende Emails
$IPTABLES -A FORWARD -o $DEV_EXT -p tcp --sport 1024:65535 --dport smtp -m
state --state NEW -j ACCEPT

# POP3: Emails abholen
$IPTABLES -A FORWARD -o $DEV_EXT -p tcp --sport 1024:65535 --dport pop3 -m
state --state NEW -j ACCEPT

## HTTP
$IPTABLES -A FORWARD -o $DEV_EXT -p tcp --sport 1024:65535 --dport http -m
state --state NEW -j ACCEPT

## HTTPS (Secure HTTP)
$IPTABLES -A FORWARD -o $DEV_EXT -p tcp --sport 1024:65535 --dport https -m
state --state NEW -j ACCEPT

$IPTABLES -A INPUT -j nirwana
$IPTABLES -A OUTPUT -j nirwana
$IPTABLES -A FORWARD -j nirwana

Es wäre sehr nett, wenn Sie mir schreiben würden wo der Fehler ist.

Gruß

Udo Lütkemeier

--