Platon Technologies
neprihlásený Prihlásiť Registrácia
SlovakEnglish
open source software development oslavujeme 10 rokov vývoja otvoreného softvéru! Štvrtok, 28. marec 2024

Rozdiely pre scripts/shell/firewall/fw-universal.sh medzi verziami 2.25 a 2.32

verzia 2.25, 2005/06/29 15:24:04 verzia 2.32, 2006/01/09 00:52:06
Riadok 9 
Riadok 9 
 # Licensed under terms of GNU General Public License.  # Licensed under terms of GNU General Public License.
 # All rights reserved.  # All rights reserved.
 #  #
 # $Platon: scripts/shell/firewall/fw-universal.sh,v 2.24 2005/04/18 22:49:30 rajo Exp $  # $Platon: scripts/shell/firewall/fw-universal.sh,v 2.30 2005/11/01 00:36:24 rajo Exp $
 #  #
 # Changelog:  # Changelog:
 # 2003-10-24 - created  # 2003-10-24 - created
Riadok 19  DESC="firewall"
Riadok 19  DESC="firewall"
 PATH=/usr/local/sbin:/usr/local/bin:/sbin:/bin:/usr/sbin:/usr/bin  PATH=/usr/local/sbin:/usr/local/bin:/sbin:/bin:/usr/sbin:/usr/bin
   
 DEFAULT_FIREWALL_CONFIG="${DEFAULT_FIREWALL_CONFIG:=/etc/default/firewall}"  DEFAULT_FIREWALL_CONFIG="${DEFAULT_FIREWALL_CONFIG:=/etc/default/firewall}"
   DEFAULT_CACHE_DIR="${DEFAULT_CACHE_DIR:=/var/cache/firewall}"
   
 if [ -f "$DEFAULT_FIREWALL_CONFIG" ]; then  if [ -f "$DEFAULT_FIREWALL_CONFIG" ]; then
         echo "Reading config file $DEFAULT_FIREWALL_CONFIG"          echo "Reading config file $DEFAULT_FIREWALL_CONFIG"
Riadok 32  fi
Riadok 33  fi
 DEFAULT_POLICY="${DEFAULT_POLICY:=DROP}"  DEFAULT_POLICY="${DEFAULT_POLICY:=DROP}"
 # which modules to load  # which modules to load
 MODULES="${MODULES:=}"  MODULES="${MODULES:=}"
   MODULES_LOADING="${MODULES_LOADING:=yes}"
   MODULES_REMOVING="${MODULES_REMOVING:=no}"
   
 LOG_LIMIT="${LOG_LIMIT:=-m limit --limit 12/h --limit-burst 10 -j LOG --log-level notice --log-prefix}"  LOG_LIMIT="${LOG_LIMIT:=-m limit --limit 12/h --limit-burst 10 -j LOG --log-level notice --log-prefix}"
   
 # Paths:  # Paths:
 #IPTABLES=":" # for testing only - does nothing  #IPTABLES=":" # for testing only - does nothing
 IPTABLES="${IPTABLES:=$DEBUG/sbin/iptables}"  IPTABLES="${IPTABLES:=$DEBUG/sbin/iptables}"
   IPTABLES_SAVE="${IPTABLES_SAVE:=$DEBUG/sbin/iptables-save}"
   IPTABLES_RESTORE="${IPTABLES_RESTORE:=$DEBUG/sbin/iptables-restore}"
   
 if [ "x$LOGGING" = "xoff" ]; then  if [ "x$LOGGING" = "xoff" ]; then
         IPTABLES_LOG=": log turned off"          IPTABLES_LOG=": log turned off"
 else  else
Riadok 51  AWK="${AWK:=/usr/bin/awk}"
Riadok 57  AWK="${AWK:=/usr/bin/awk}"
   
 # loopback interface  # loopback interface
 LO_IFACE="${LO_IFACE:=lo}"  LO_IFACE="${LO_IFACE:=lo}"
 LO_IP="IP_$LO_IFACE"  
   
 #  #
 # CONSTANTS - Do not edit  # CONSTANTS - Do not edit
Riadok 77  ACCEPT_ICMP_PACKETS="${ACCEPT_ICMP_PACKE
Riadok 82  ACCEPT_ICMP_PACKETS="${ACCEPT_ICMP_PACKE
 # load necessary modules from $MODULES variable  # load necessary modules from $MODULES variable
 load_modules()  load_modules()
 { # {{{  { # {{{
         echo "# Loading modules"          if [ "e$MODULES_LOADING" = "eyes" ]; then
         for mod in $MODULES; do                  echo "# Loading modules"
                 echo "  $MODPROBE $mod"                  for mod in $MODULES; do
                 $MODPROBE $mod                          echo "  $MODPROBE $mod"
         done                          $MODPROBE $mod
                   done
           fi
   } # }}}
   
   load_cache()
   { # {{{
   
           if [ ! -d "$DEFAULT_CACHE_DIR" ]; then
                   mkdir -p "$DEFAULT_CACHE_DIR";
           fi
   
           config=`cat $DEFAULT_FIREWALL_CONFIG`;
           md5key=`echo "config = '$config' parsed_interfaces ='$parsed_interfaces' parsed_routes='$parsed_routes'" | md5sum | awk '{ print $1; }'`;
           CACHE_FILE="$DEFAULT_CACHE_DIR/$md5key"
   
           #echo "CACHE_FILE=$CACHE_FILE"
   
           if [ -f "$CACHE_FILE" ]; then
                   echo "Loading rules from cache file $CACHE_FILE"
                   $IPTABLES_RESTORE -c < $CACHE_FILE;
                   forward_on # this has nothing to do with IPtables rules, we need to run them explicitly
                   exit 0;
           fi
 } # }}}  } # }}}
   
 # unload necessary modules from $MODULES variable  # unload necessary modules from $MODULES variable
 unload_modules()  unload_modules()
 { # {{{  { # {{{
         # reverse modules          # reverse modules
         echo "# Removing modules"          if [ "e$MODULES_REMOVING" = "eyes" ]; then
         R_MODULES=`echo "$MODULES" | tr ' ' '\012' | tac | tr '\012' ' '`                  echo "# Removing modules"
         for mod in $R_MODULES; do                  R_MODULES=`echo "$MODULES" | tr ' ' '\012' | tac | tr '\012' ' '`
                 echo "  $RMMOD $mod"                  for mod in $R_MODULES; do
                 $RMMOD $mod                          echo "  $RMMOD $mod"
         done                          $RMMOD $mod
                   done
           fi
 } # }}}  } # }}}
   
 # print status of detected interfaces  # print status of detected interfaces
Riadok 123  antispoof_on()
Riadok 153  antispoof_on()
         done          done
 } # }}}  } # }}}
   
   # Turn on IP packets forwarding
 forward_on()  forward_on()
 { # {{{  { # {{{
         echo -en "NAT: Enabling packet forwarding..."          # NAT requires turn on IP forwarding
         echo 1 > /proc/sys/net/ipv4/ip_forward          if [ ! -z "$NAT_LAN_IFACE" ]; then
         echo " done."                  echo -en "NAT: Enabling packet forwarding..."
                   echo 1 > /proc/sys/net/ipv4/ip_forward
                   echo " done."
           fi
 } # }}}  } # }}}
   
 forward_off()  forward_off()
Riadok 388  log_new_connections()
Riadok 422  log_new_connections()
 { # {{{  { # {{{
         if [ ! -z "$NAT_LOG_NEW_CONNECTIONS" ]; then          if [ ! -z "$NAT_LOG_NEW_CONNECTIONS" ]; then
                 if [ "x$NAT_LOG_NEW_CONNECTIONS" = "xyes" ]; then                  if [ "x$NAT_LOG_NEW_CONNECTIONS" = "xyes" ]; then
                         echo -en "Logging new connections:"                          if [ "x$NAT_LOG_NEW_CONNECTIONS" = "xyes" ]; then
                         $IPTABLES_LOG -A INPUT   -m state --state NEW -j LOG --log-prefix "IN  connection: "                                  NAT_LOG_NEW_CONNECTIONS="TCP UDP"
                         $IPTABLES_LOG -A OUTPUT  -m state --state NEW -j LOG --log-prefix "OUT connection: "                          fi
                         $IPTABLES_LOG -A FORWARD -m state --state NEW -j LOG --log-prefix "FWD connection: "                          echo -en "Logging new connections $NAT_LOG_NEW_CONNECTIONS:"
                           for proto in $NAT_LOG_NEW_CONNECTIONS; do
                                   $IPTABLES_LOG -A INPUT   -m state --state NEW -p $proto -j LOG --log-prefix "IN  connection: "
                                   $IPTABLES_LOG -A OUTPUT  -m state --state NEW -p $proto -j LOG --log-prefix "OUT connection: "
                                   $IPTABLES_LOG -A FORWARD -m state --state NEW -p $proto -j LOG --log-prefix "FWD connection: "
                           done
                         echo " done."                          echo " done."
                 fi                  fi
         fi          fi
Riadok 470  allow_accept_all()
Riadok 509  allow_accept_all()
 allow_input()  allow_input()
 { # {{{  { # {{{
   
           if [ ! -z "$NAT_LAN_IFACE" ]; then
                   for client_ip in $NAT_CLIENT_DROP; do
                           echo -en " !$client_ip";
                           $IPTABLES -A INPUT -s $client_ip -i $NAT_SUBNET_IFACE -j DROP
                   done
           fi
         if [ ! -z "$ALL_ACCEPT_INPUT_TCP" ]; then          if [ ! -z "$ALL_ACCEPT_INPUT_TCP" ]; then
                 echo -en "Accepting ALL INPUT TCP connections on ports:"                  echo -en "Accepting ALL INPUT TCP connections on ports:"
                 for port in $ALL_ACCEPT_INPUT_TCP; do                  for port in $ALL_ACCEPT_INPUT_TCP; do
Riadok 610  log_forward_drop()
Riadok 655  log_forward_drop()
   
 } # }}}  } # }}}
   
   do_ip_accounting()
   { # {{{
   
           if [ ! "x$DO_LOCAL_IP_ACCOUNTING" = "xno" ]; then
                   if [ ! -z "$NAT_LAN_IFACE" ]; then
                           IPACCT_IN_NAME="IPACCT_IN"
                           IPACCT_OUT_NAME="IPACCT_OUT"
                           $IPTABLES -N $IPACCT_IN_NAME    # download: from server to client
                           $IPTABLES -N $IPACCT_OUT_NAME   # upload: from client to server
   
                           ip="IP_$NAT_SUBNET_IFACE";
                           netmask="Mask_$NAT_SUBNET_IFACE"
                           localnet="${!ip}/${!netmask}"
   
                           $IPTABLES -A FORWARD -i $NAT_LAN_IFACE -d $localnet -j $IPACCT_IN_NAME
                           $IPTABLES -A FORWARD -o $NAT_LAN_IFACE -s $localnet -j $IPACCT_OUT_NAME
   
                           for client_ip in $IP_ACCT_CLIENTS; do
                                   $IPTABLES -A $IPACCT_IN_NAME    -d $client_ip -j RETURN
                                   $IPTABLES -A $IPACCT_OUT_NAME   -s $client_ip -j RETURN
                           done
   
                           $IPTABLES -A $IPACCT_IN_NAME  -j RETURN
                           $IPTABLES -A $IPACCT_OUT_NAME -j RETURN
   
                   fi
           fi
   
   } # }}}
   
 accept_related()  accept_related()
 { # {{{  { # {{{
   
         echo -en "Accepting ESTABLISHED, RELATED packets for IP:"          echo -en "Accepting ESTABLISHED, RELATED packets for IP:"
         for iface in $INTERFACES; do          for iface in $INTERFACES; do
                 ip="IP_$iface";                  ip="IP_$iface";
                 echo -en " ${!ip}($iface)"                  echo -en " ${!ip}($iface)"
                 $IPTABLES -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT                  $IPTABLES -A INPUT      -m state --state ESTABLISHED,RELATED -j ACCEPT
                   $IPTABLES -A OUTPUT     -m state --state ESTABLISHED,RELATED -j ACCEPT
         done          done
         echo " done."          echo " done."
   
Riadok 639  accept_loopback()
Riadok 715  accept_loopback()
 parse_ifconfig()  parse_ifconfig()
 { # {{{  { # {{{
         # Parse output from ifconfig:          # Parse output from ifconfig:
         eval `$IFCONFIG | \          parsed_interfaces=`$IFCONFIG | \
                 $AWK 'BEGIN { interfaces=""; }                  $AWK 'BEGIN { interfaces=""; }
                         /^[a-zA-Z0-9]+[ \t]+/ { # Linux                          /^[a-zA-Z0-9]+[ \t]+/ { # Linux
                                 iface=$1;                                  iface=$1;
Riadok 669  parse_ifconfig()
Riadok 745  parse_ifconfig()
                         }                          }
                         END { printf "\ninterfaces=\"%s\";      export interfaces;\n", interfaces; }                          END { printf "\ninterfaces=\"%s\";      export interfaces;\n", interfaces; }
         '`          '`
           eval "$parsed_interfaces";
   
         eval `perl -e '          parsed_routes=`perl -e '
         $\ = "\n";          $\ = "\n";
         open(FILE, "/proc/net/route") or die "Can not open /proc/net/route: $!";          open(FILE, "/proc/net/route") or die "Can not open /proc/net/route: $!";
         my @columns = split(/\s+/, <FILE>);          my @columns = split(/\s+/, <FILE>);
Riadok 717  parse_ifconfig()
Riadok 794  parse_ifconfig()
   
         } # }}}          } # }}}
         '`          '`
           eval "$parsed_routes";
   
         # Now we have defined variables like this:          # Now we have defined variables like this:
         # IFACE_eth0 HWaddr_eth0 IP_eth0 Bcast_eth0 Mask_eth0          # IFACE_eth0 HWaddr_eth0 IP_eth0 Bcast_eth0 Mask_eth0
         # IFACE_lo   HWaddr_lo   IP_lo   Bcast_lo   Mask_lo          # IFACE_lo   HWaddr_lo   IP_lo   Bcast_lo   Mask_lo
Riadok 757  case "$1" in
Riadok 836  case "$1" in
         start)          start)
                 echo -n "Starting $DESC: "                  echo -n "Starting $DESC: "
                 # Inicialize modules                  # Inicialize modules
                 $DEPMOD -a                  #$DEPMOD -a
                 load_modules                  load_modules
                   load_cache
                 set_default_policy                  set_default_policy
                 remove_chains                  remove_chains
                 #                  #
Riadok 774  case "$1" in
Riadok 854  case "$1" in
                 mangle_output                  mangle_output
                 log_new_connections                  log_new_connections
                 drop_output                  drop_output
                   do_ip_accounting
                 allow_input                  allow_input
                 allow_output                  allow_output
                 allow_icmp                  allow_icmp
Riadok 783  case "$1" in
Riadok 864  case "$1" in
                 log_input_drop                  log_input_drop
                 log_output_drop                  log_output_drop
                 log_forward_drop                  log_forward_drop
                   forward_on
                   $IPTABLES_SAVE -c > $CACHE_FILE
                 ;;                  ;;
   
         stop)          stop)
Riadok 791  case "$1" in
Riadok 874  case "$1" in
                 remove_chains                  remove_chains
                 unload_modules                  unload_modules
                 forward_off                  forward_off
                   accept_related
                   ;;
   
           really-off)
                   echo -n "Stopping $DESC: removing ALL rules, all packets are dropped !!"
                   set_default_policy
                   remove_chains
                   unload_modules
                   forward_off
                 ;;                  ;;
   
         status)          status)
Riadok 798  case "$1" in
Riadok 890  case "$1" in
                 $IPTABLES -L -nv                  $IPTABLES -L -nv
                 ;;                  ;;
   
           purge)
                   find $DEFAULT_CACHE_DIR -type f -ls -exec rm -f {} \;
                   ;;
   
         *)          *)
                 echo "Usage: $0 {start|stop|status}" >&2                  echo "Usage: $0 {start|stop|really-off|status|purge}" >&2
                 exit 1                  exit 1
                 ;;                  ;;
 esac  esac

Legend:
Odstranené z verzie2.25  
zmenené riadky
  Pridané vo verzii2.32

Platon Group <platon@platon.sk> http://platon.sk/
Copyright © 2002-2006 Platon Group
Stránka používa redakčný systém Metafox
Na začiatok