Platon Technologies
neprihlásený Prihlásiť Registrácia
SlovakEnglish
open source software development oslavujeme 10 rokov vývoja otvoreného softvéru! Štvrtok, 28. marec 2024

Rozdiely pre scripts/shell/firewall/fw-universal.sh medzi verziami 2.37 a 2.57

verzia 2.37, 2006/01/13 18:32:36 verzia 2.57, 2008/02/02 22:57:54
Riadok 9 
Riadok 9 
 # Licensed under terms of GNU General Public License.  # Licensed under terms of GNU General Public License.
 # All rights reserved.  # All rights reserved.
 #  #
 # $Platon: scripts/shell/firewall/fw-universal.sh,v 2.30 2005/11/01 00:36:24 rajo Exp $  # $Platon: scripts/shell/firewall/fw-universal.sh,v 2.56 2008-01-27 13:36:02 rajo Exp $
 #  #
 # Changelog:  # Changelog:
 # 2003-10-24 - created  # 2003-10-24 - created
 #  #
   
   umask 077 # security
   
 DESC="firewall"  DESC="firewall"
 PATH=/usr/local/sbin:/usr/local/bin:/sbin:/bin:/usr/sbin:/usr/bin  PATH=/usr/local/sbin:/usr/local/bin:/sbin:/bin:/usr/sbin:/usr/bin
   
 DEFAULT_FIREWALL_CONFIG="${DEFAULT_FIREWALL_CONFIG:=/etc/default/firewall}"  DEFAULT_FIREWALL_CONFIG="${DEFAULT_FIREWALL_CONFIG:=/etc/default/firewall}"
   DEFAULT_FIREWALL_CONFIG_DIR="${DEFAULT_FIREWALL_CONFIG_DIR:=/etc/default/firewall.d}"
 DEFAULT_CACHE_DIR="${DEFAULT_CACHE_DIR:=/var/cache/firewall}"  DEFAULT_CACHE_DIR="${DEFAULT_CACHE_DIR:=/var/cache/firewall}"
   
   # quiet output? {{{
   if [ "x$1" = "xblock" ] || [ "x$QUIET" = "xyes" ]; then
           print_info()
           {
                   echo -n ""
           }
   else
           print_info()
           {
                   echo "$@"
           }
   fi
   # }}}
   
 if [ -f "$DEFAULT_FIREWALL_CONFIG" ]; then  if [ -f "$DEFAULT_FIREWALL_CONFIG" ]; then
         echo "Reading config file $DEFAULT_FIREWALL_CONFIG"          print_info "Reading config file $DEFAULT_FIREWALL_CONFIG"
         . $DEFAULT_FIREWALL_CONFIG          . $DEFAULT_FIREWALL_CONFIG
 fi  fi
   
Riadok 54  DEPMOD="${DEPMOD:=/sbin/depmod}"
Riadok 71  DEPMOD="${DEPMOD:=/sbin/depmod}"
 MODPROBE="${MODPROBE:=/sbin/modprobe}"  MODPROBE="${MODPROBE:=/sbin/modprobe}"
 RMMOD="${RMMOD:=/sbin/rmmod}"  RMMOD="${RMMOD:=/sbin/rmmod}"
 AWK="${AWK:=/usr/bin/awk}"  AWK="${AWK:=/usr/bin/awk}"
   PERL="${PERL:=/usr/bin/perl}"
   
 # loopback interface  # loopback interface
 LO_IFACE="${LO_IFACE:=lo}"  LO_IFACE="${LO_IFACE:=lo}"
   # Hide NAT clients behind firewall
   NAT_SET_TTL="${NAT_SET_TTL:=no}"
   
   # reject config
   ALL_REJECT_INPUT_TCP="${ALL_REJECT_INPUT_TCP:=113}" # by default reject connections to AUTH server
   REJECT_WITH="${REJECT_WITH:=tcp-reset}"
   
 #  #
 # CONSTANTS - Do not edit  # CONSTANTS - Do not edit
Riadok 78  TRACEROUTE_DEST_PORTS="33434:33523"    # Tr
Riadok 102  TRACEROUTE_DEST_PORTS="33434:33523"    # Tr
 # allow some ICMP packets - needed for ping etc.  # allow some ICMP packets - needed for ping etc.
 ACCEPT_ICMP_PACKETS="${ACCEPT_ICMP_PACKETS:=echo-reply destination-unreachable echo-request time-exceeded}"  ACCEPT_ICMP_PACKETS="${ACCEPT_ICMP_PACKETS:=echo-reply destination-unreachable echo-request time-exceeded}"
   
   
 print_first()  print_first()
 { # {{{  { # {{{
         echo $1          echo $1
Riadok 89  get_first_ip_addr()
Riadok 114  get_first_ip_addr()
         print_first `echo ${!varname} | sort -g`          print_first `echo ${!varname} | sort -g`
 } # }}}  } # }}}
   
   read_config_ips()
   { # {{{
           PARSE_CONFIG=$1 perl -ne 'if (m/^\d{1,3}\.\d{1,3}\.\d{1,3}\.\d{1,3}\/(\d+)$/g) { print; } elsif ($_ !~ m/^\s*#/ && $_ !~ m/^\s*$/ ) { print STDERR "ERROR: $ENV{PARSE_CONFIG}:$.: ignored string $_\n"; }' $1
   } # }}}
   
 # load necessary modules from $MODULES variable  # load necessary modules from $MODULES variable
 load_modules()  load_modules()
 { # {{{  { # {{{
         if [ "e$MODULES_LOADING" = "eyes" ]; then          if [ "e$MODULES_LOADING" = "eyes" ]; then
                 echo "# Loading modules"                  print_info "# Loading modules"
                 for mod in $MODULES; do                  for mod in $MODULES; do
                         echo "  $MODPROBE $mod"                          print_info "    $MODPROBE $mod"
                         $MODPROBE $mod                          $MODPROBE $mod
                 done                  done
         fi          fi
Riadok 108  load_cache()
Riadok 138  load_cache()
                 mkdir -p "$DEFAULT_CACHE_DIR";                  mkdir -p "$DEFAULT_CACHE_DIR";
         fi          fi
   
         config=`cat $DEFAULT_FIREWALL_CONFIG`;          config=`cat $DEFAULT_FIREWALL_CONFIG $0 $DEFAULT_FIREWALL_CONFIG_DIR/deploy-servers.list $DEFAULT_FIREWALL_CONFIG_DIR/BANNED_IP.conf `; # config file and firewalling script
         md5key=`echo "config = '$config' parsed_interfaces ='$parsed_interfaces' parsed_routes='$parsed_routes'" | md5sum | awk '{ print $1; }'`;          md5key=`echo "config = '$config' parsed_interfaces ='$parsed_interfaces' parsed_routes='$parsed_routes'" | md5sum | $AWK '{ print $1; }'`;
         CACHE_FILE="$DEFAULT_CACHE_DIR/$md5key"          CACHE_FILE="$DEFAULT_CACHE_DIR/$md5key"
   
         #echo "CACHE_FILE=$CACHE_FILE"          #echo "CACHE_FILE=$CACHE_FILE"
   
         if [ -f "$CACHE_FILE" ]; then          if [ -f "$CACHE_FILE" ]; then
                 echo "Loading rules from cache file $CACHE_FILE"                  print_info "Loading rules from cache file $CACHE_FILE"
                 $IPTABLES_RESTORE -c < $CACHE_FILE;                  $IPTABLES_RESTORE -c < $CACHE_FILE;
                 forward_on # this has nothing to do with IPtables rules, we need to run them explicitly                  forward_on # this has nothing to do with IPtables rules, we need to run them explicitly
                 exit 0;                  exit 0;
Riadok 127  unload_modules()
Riadok 157  unload_modules()
 { # {{{  { # {{{
         # reverse modules          # reverse modules
         if [ "e$MODULES_REMOVING" = "eyes" ]; then          if [ "e$MODULES_REMOVING" = "eyes" ]; then
                 echo "# Removing modules"                  print_info "# Removing modules"
                 R_MODULES=`echo "$MODULES" | tr ' ' '\012' | tac | tr '\012' ' '`                  R_MODULES=`echo "$MODULES" | tr ' ' '\012' | tac | tr '\012' ' '`
                 for mod in $R_MODULES; do                  for mod in $R_MODULES; do
                         echo "  $RMMOD $mod"                          print_info "    $RMMOD $mod"
                         $RMMOD $mod                          $RMMOD $mod
                 done                  done
         fi          fi
Riadok 140  unload_modules()
Riadok 170  unload_modules()
 print_iface_status()  print_iface_status()
 { # {{{  { # {{{
         # Print interfaces:          # Print interfaces:
         echo "# iface   | IP addr       | Gateway       | broadcast     | netmask       | HW addr"          print_info "# iface     | IP addr       | Gateway       | broadcast     | netmask       | HW addr"
         for iface in $interfaces; do          for iface in $interfaces; do
                 IPS="IP_$iface";                  IPS="IP_$iface";
                 for IP in ${!IPS}; do                  for IP in ${!IPS}; do
                         Gateway="Gateway_$iface"; Bcast="Bcast_$iface"; Mask="Mask_$iface"; HWaddr="HWaddr_$iface";                          Gateway="Gateway_$iface"; Bcast="Bcast_$iface"; Mask="Mask_$iface"; HWaddr="HWaddr_$iface";
                         echo "$iface    | ${IP} | ${!Gateway}   | ${!Bcast}     | ${!Mask}      | ${!HWaddr}"                          print_info "$iface      | ${IP} | ${!Gateway}   | ${!Bcast}     | ${!Mask}      | ${!HWaddr}"
                 done                  done
         done          done
 } # }}}  } # }}}
Riadok 171  forward_on()
Riadok 201  forward_on()
 { # {{{  { # {{{
         # NAT requires turn on IP forwarding          # NAT requires turn on IP forwarding
         if [ ! -z "$NAT_LAN_IFACE" ]; then          if [ ! -z "$NAT_LAN_IFACE" ]; then
                 echo -en "NAT: Enabling packet forwarding..."                  print_info -en "NAT: Enabling packet forwarding..."
                 echo 1 > /proc/sys/net/ipv4/ip_forward                  echo 1 > /proc/sys/net/ipv4/ip_forward
                 echo " done."                  print_info " done."
         fi          fi
 } # }}}  } # }}}
   
 forward_off()  forward_off()
 { # {{{  { # {{{
         echo -en "NAT: Disabling packet forwarding..."          print_info -en "NAT: Disabling packet forwarding..."
         echo 0 > /proc/sys/net/ipv4/ip_forward          echo 0 > /proc/sys/net/ipv4/ip_forward
         echo " done."          print_info " done."
 } # }}}  } # }}}
   
 # clear status of iptable chains  # clear status of iptable chains
Riadok 200  remove_chains()
Riadok 230  remove_chains()
 nmap_scan_filter()  nmap_scan_filter()
 { # {{{  { # {{{
   
         echo -en "Turning on nmap scan filter "          print_info -en "Turning on nmap scan filter "
   
         for chain in INPUT FORWARD; do          for chain in INPUT FORWARD; do
                 #  Nie je nastaveny ziaden bit                  #  Nie je nastaveny ziaden bit
                 $IPTABLES_LOG   -A $chain   -p TCP --tcp-flags ALL NONE  $LOG_LIMIT "nmap scan $chain ALL NONE: "                  $IPTABLES_LOG   -A $chain   -p TCP --tcp-flags ALL NONE  $LOG_LIMIT "nmap scan $chain ALL NONE: "
                 echo -en "."                  print_info -en "."
                 $IPTABLES               -A $chain   -p TCP --tcp-flags ALL NONE -j DROP                  $IPTABLES               -A $chain   -p TCP --tcp-flags ALL NONE -j DROP
                 echo -en "."                  print_info -en "."
   
                 # dva odporujuuce si flagy su nastavene:                  # dva odporujuuce si flagy su nastavene:
                 for flags in   SYN,FIN   SYN,RST   FIN,RST   ; do                  for flags in   SYN,FIN   SYN,RST   FIN,RST   ; do
                         $IPTABLES_LOG   -A $chain   -p TCP --tcp-flags $flags $flags $LOG_LIMIT "nmap scan $chain $flags: "                          $IPTABLES_LOG   -A $chain   -p TCP --tcp-flags $flags $flags $LOG_LIMIT "nmap scan $chain $flags: "
                         echo -en "."                          print_info -en "."
                         $IPTABLES               -A $chain   -p TCP --tcp-flags $flags $flags -j DROP                          $IPTABLES               -A $chain   -p TCP --tcp-flags $flags $flags -j DROP
                         echo -en "."                          print_info -en "."
                 done                  done
   
                 # je nastavene len $flags bez predpokladaneho ACK                  # je nastavene len $flags bez predpokladaneho ACK
                 for flags in   FIN   PSH   URG   ; do                  for flags in   FIN   PSH   URG   ; do
                         $IPTABLES_LOG   -A $chain   -p TCP --tcp-flags ACK,$flags $flags $LOG_LIMIT "nmap scan $chain ACK,$flags: "                          $IPTABLES_LOG   -A $chain   -p TCP --tcp-flags ACK,$flags $flags $LOG_LIMIT "nmap scan $chain ACK,$flags: "
                         echo -en "."                          print_info -en "."
                         $IPTABLES               -A $chain   -p TCP --tcp-flags ACK,$flags $flags -j DROP                          $IPTABLES               -A $chain   -p TCP --tcp-flags ACK,$flags $flags -j DROP
                         echo -en "."                          print_info -en "."
                 done                  done
         done          done
   
         echo " done."          print_info " done."
   
 } # }}}  } # }}}
   
Riadok 234  nmap_scan_filter()
Riadok 264  nmap_scan_filter()
 invalid_packet_filter()  invalid_packet_filter()
 { # {{{  { # {{{
   
         echo -en "Turning on INVALID packet filter "          print_info -en "Turning on INVALID packet filter "
         for chain in INPUT OUTPUT FORWARD; do          for chain in INPUT OUTPUT FORWARD; do
                 $IPTABLES_LOG   -A $chain -m state --state INVALID $LOG_LIMIT "INVALID $chain: "                  $IPTABLES_LOG   -A $chain -m state --state INVALID $LOG_LIMIT "INVALID $chain: "
                 echo -en "."                  print_info -en "."
                 $IPTABLES               -A $chain -m state --state INVALID -j DROP                  $IPTABLES               -A $chain -m state --state INVALID -j DROP
                 echo -en "."                  print_info -en "."
         done          done
   
         echo " done."          print_info " done."
   
 } # }}}  } # }}}
   
Riadok 269  anti_spoof_filter()
Riadok 299  anti_spoof_filter()
   
         if [ ! -z "$ANTISPOOF_IFACE" ]; then          if [ ! -z "$ANTISPOOF_IFACE" ]; then
   
                 echo -en "Turning on antispoof filter for interfaces: "                  print_info -en "Turning on antispoof filter for interfaces: "
                 $IPTABLES -N spoof                  $IPTABLES -N spoof
   
                 # Ochrana proti Spoogingu zo spatnej slucky                  # Ochrana proti Spoogingu zo spatnej slucky
Riadok 288  anti_spoof_filter()
Riadok 318  anti_spoof_filter()
                 $IPTABLES               -A spoof -s 96.0.0.0/4 -j DROP                          # IANA                  $IPTABLES               -A spoof -s 96.0.0.0/4 -j DROP                          # IANA
   
                 for iface in $ANTISPOOF_IFACE; do                  for iface in $ANTISPOOF_IFACE; do
                         echo -en " $iface"                          print_info -en " $iface"
                         $IPTABLES -A FORWARD -i $iface -j spoof                          $IPTABLES -A FORWARD -i $iface -j spoof
                         $IPTABLES -A INPUT   -i $iface -j spoof                          $IPTABLES -A INPUT   -i $iface -j spoof
                 done                  done
                 echo " done."                  print_info " done."
         fi          fi
 } # }}}  } # }}}
   
 mangle_prerouting()  mangle_prerouting()
 { # {{{  { # {{{
   
         echo -en "Optimizing PREROUTING TOS: "          print_info -en "Optimizing PREROUTING TOS: "
         # TOS flagy slouzi k optimalizaci datovych cest. Pro ssh, ftp a telnet          # TOS flagy slouzi k optimalizaci datovych cest. Pro ssh, ftp a telnet
         # pozadujeme minimalni zpozdeni. Pro ftp-data zase maximalni propostnost          # pozadujeme minimalni zpozdeni. Pro ftp-data zase maximalni propostnost
         $IPTABLES -t mangle -A PREROUTING -p TCP --sport ssh -j TOS --set-tos Minimize-Delay          $IPTABLES -t mangle -A PREROUTING -p TCP --sport ssh -j TOS --set-tos Minimize-Delay
         echo -en "."          print_info -en "."
         $IPTABLES -t mangle -A PREROUTING -p TCP --dport ssh -j TOS --set-tos Minimize-Delay          $IPTABLES -t mangle -A PREROUTING -p TCP --dport ssh -j TOS --set-tos Minimize-Delay
         echo -en "."          print_info -en "."
         $IPTABLES -t mangle -A PREROUTING -p TCP --sport ftp -j TOS --set-tos Minimize-Delay          $IPTABLES -t mangle -A PREROUTING -p TCP --sport ftp -j TOS --set-tos Minimize-Delay
         echo -en "."          print_info -en "."
         $IPTABLES -t mangle -A PREROUTING -p TCP --dport ftp -j TOS --set-tos Minimize-Delay          $IPTABLES -t mangle -A PREROUTING -p TCP --dport ftp -j TOS --set-tos Minimize-Delay
         echo -en "."          print_info -en "."
         $IPTABLES -t mangle -A PREROUTING -p TCP --dport telnet -j TOS --set-tos Minimize-Delay          $IPTABLES -t mangle -A PREROUTING -p TCP --dport telnet -j TOS --set-tos Minimize-Delay
         echo -en "."          print_info -en "."
         $IPTABLES -t mangle -A PREROUTING -p TCP --sport ftp-data -j TOS --set-tos Maximize-Throughput          $IPTABLES -t mangle -A PREROUTING -p TCP --sport ftp-data -j TOS --set-tos Maximize-Throughput
         echo -en "."          print_info -en "."
         echo " done."          print_info " done."
   
 } # }}}  } # }}}
   
 mangle_output()  mangle_output()
 { # {{{  { # {{{
   
         echo -en "Optimizing OUTPUT TOS:"          print_info -en "Optimizing OUTPUT TOS:"
         # TOS flagy slouzi k optimalizaci datovych cest. Pro ssh, ftp a telnet          # TOS flagy slouzi k optimalizaci datovych cest. Pro ssh, ftp a telnet
         # pozadujeme minimalni zpozdeni. Pro ftp-data zase maximalni propostnost          # pozadujeme minimalni zpozdeni. Pro ftp-data zase maximalni propostnost
         for iface in $INTERFACES; do          for iface in $INTERFACES; do
                 echo -en " $iface";                  print_info -en " $iface";
                 $IPTABLES -t mangle -A OUTPUT -o $iface -p TCP --sport ssh -j TOS --set-tos Minimize-Delay                  $IPTABLES -t mangle -A OUTPUT -o $iface -p TCP --sport ssh -j TOS --set-tos Minimize-Delay
                 $IPTABLES -t mangle -A OUTPUT -o $iface -p TCP --dport ssh -j TOS --set-tos Minimize-Delay                  $IPTABLES -t mangle -A OUTPUT -o $iface -p TCP --dport ssh -j TOS --set-tos Minimize-Delay
                 $IPTABLES -t mangle -A OUTPUT -o $iface -p TCP --sport ftp -j TOS --set-tos Minimize-Delay                  $IPTABLES -t mangle -A OUTPUT -o $iface -p TCP --sport ftp -j TOS --set-tos Minimize-Delay
Riadok 333  mangle_output()
Riadok 363  mangle_output()
                 $IPTABLES -t mangle -A OUTPUT -o $iface -p TCP --dport telnet -j TOS --set-tos Minimize-Delay                  $IPTABLES -t mangle -A OUTPUT -o $iface -p TCP --dport telnet -j TOS --set-tos Minimize-Delay
                 $IPTABLES -t mangle -A OUTPUT -o $iface -p TCP --sport ftp-data -j TOS --set-tos Maximize-Throughput                  $IPTABLES -t mangle -A OUTPUT -o $iface -p TCP --sport ftp-data -j TOS --set-tos Maximize-Throughput
         done          done
         echo " done."          print_info " done."
   
 } # }}}  } # }}}
   
Riadok 341  mangle_output()
Riadok 371  mangle_output()
 masquerade()  masquerade()
 { # {{{  { # {{{
         if [ ! -z "$NAT_LAN_IFACE" ]; then          if [ ! -z "$NAT_LAN_IFACE" ]; then
         echo -en "NAT: Enabling packet forwarding..."          print_info -en "NAT: Enabling packet forwarding..."
         echo 1 > /proc/sys/net/ipv4/ip_forward          echo 1 > /proc/sys/net/ipv4/ip_forward
         echo " done."          print_info " done."
                 echo -en "NAT: Masquerading local subnet: $NAT_SUBNET_IFACE --> $NAT_LAN_IFACE"                  print_info -en "NAT: Masquerading local subnet: $NAT_SUBNET_IFACE --> $NAT_LAN_IFACE"
   
                 ip="`get_first_ip_addr IP_$NAT_SUBNET_IFACE`"                  ip="`get_first_ip_addr IP_$NAT_SUBNET_IFACE`"
                 netmask="Mask_$NAT_SUBNET_IFACE"                  netmask="Mask_$NAT_SUBNET_IFACE"
                 localnet="${!ip}/${!netmask}"                  localnet="$ip/${!netmask}"
   
                 lan_ip="`get_first_ip_addr IP_$NAT_LAN_IFACE`"                  lan_ip="`get_first_ip_addr IP_$NAT_LAN_IFACE`"
   
                 # alow packets from private subnet                  # alow packets from private subnet
                 $IPTABLES -A FORWARD -s ! $localnet -i $NAT_SUBNET_IFACE -j DROP                  $IPTABLES -A FORWARD -s ! $localnet -i $NAT_SUBNET_IFACE -j DROP
                 for client_ip in $NAT_CLIENT_DROP; do                  for client_ip in $NAT_CLIENT_DROP; do
                         echo -en " !$client_ip";                          print_info -en " !$client_ip";
                         $IPTABLES -A FORWARD -s $client_ip -i $NAT_SUBNET_IFACE -j DROP                          $IPTABLES -A FORWARD -s $client_ip -i $NAT_SUBNET_IFACE -j DROP
                 done                  done
   
                 for redirect in $NAT_TCP_PORT_REDIRECT; do                  for redirect in $NAT_TCP_PORT_REDIRECT; do
                         eval `echo $redirect | awk -v FS=: '{ printf "remote_port=%s; local_port=%s;", $1, $2; }'`                          #eval `echo $redirect | $AWK -v FS=: '{ printf "remote_port=%s; local_port=%s;", $1, $2; }'`
                         echo -en " $remote_port:$local_port"                          eval `echo $redirect | \
                                   $AWK -v FS=: '  (NF == 2) { remote_ip = "$lan_ip"; remote_port = $1; local_port = $2; } \
                                                                   (NF == 3) { remote_ip = $2;        remote_port = $1; local_port = $3; } \
                                                                   END { printf "remote_ip=%s; remote_port=%s; local_port=%s;", remote_ip, remote_port, local_port; }'`
                           print_info -en " $remote_port>>$remote_ip:$local_port(udp)"
                         $IPTABLES -t nat -A PREROUTING -p TCP \                          $IPTABLES -t nat -A PREROUTING -p TCP \
                                 -i ! $NAT_LAN_IFACE -d ! ${!lan_ip} \                                  -i ! $NAT_LAN_IFACE -d ! $lan_ip \
                                 --dport $remote_port -j REDIRECT --to-port $local_port                                  --dport $remote_port -j REDIRECT --to-port $local_port
                 done                  done
                   for redirect in $NAT_UDP_PORT_REDIRECT; do
                           #eval `echo $redirect | $AWK -v FS=: '{ printf "remote_port=%s; local_port=%s;", $1, $2; }'`
                           eval `echo $redirect | \
                                   $AWK -v FS=: '  (NF == 2) { dnat = "no"  ; remote_ip = "X"; remote_port = $1; local_port = $2; } \
                                                                   (NF == 3) { dnat = "yes" ; remote_ip = $2;  remote_port = $1; local_port = $3; } \
                                                                   END { printf "dnat=%s; remote_ip=%s; remote_port=%s; local_port=%s;", dnat, remote_ip, remote_port, local_port; }'`
                           print_info -en " $remote_port>>$remote_ip:$local_port(udp)"
                           if [ "x$dnat" = "xyes" ]; then
                                   $IPTABLES -t nat -A PREROUTING -p UDP -i $NAT_SUBNET_IFACE -d ! $ip \
                                   --dport $local_port -j DNAT --to $remote_ip:$remote_port
                                   $IPTABLES -A FORWARD -p UDP -i $NAT_SUBNET_IFACE -d ! $ip --dport $local_port -j ACCEPT
                           else
                                   $IPTABLES -t nat -A PREROUTING -p UDP \
                                           -i ! $NAT_LAN_IFACE -d ! $lan_ip \
                                           --dport $remote_port -j REDIRECT --to-port $local_port
                           fi
                   done
   
                 #$IPTABLES -t nat -A POSTROUTING -s $localnet -o $NAT_LAN_IFACE -j MASQUERADE                  #$IPTABLES -t nat -A POSTROUTING -s $localnet -o $NAT_LAN_IFACE -j MASQUERADE
                 $IPTABLES -t nat -A POSTROUTING -o $NAT_LAN_IFACE -j MASQUERADE                  $IPTABLES -t nat -A POSTROUTING -o $NAT_LAN_IFACE -j MASQUERADE
   
                 echo " done."                  print_info " done."
   
                 # don't forward Miscrosoft protocols - NOT RFC compliant packets                  # don't forward Miscrosoft protocols - NOT RFC compliant packets
                 if [ ! -z "$NAT_FORWARD_MICROSOFT" ]; then                  if [ ! -z "$NAT_FORWARD_MICROSOFT" ]; then
Riadok 385  masquerade()
Riadok 436  masquerade()
                 fi                  fi
   
                 if [ ! -z "$NAT_FORWARD_TCP_PORTS" ]; then                  if [ ! -z "$NAT_FORWARD_TCP_PORTS" ]; then
                         echo -en "\tAccepting FORWARD TCP ports:"                          print_info -en "\tAccepting FORWARD TCP ports:"
                         for port in $NAT_FORWARD_TCP_PORTS; do                          for port in $NAT_FORWARD_TCP_PORTS; do
                                 echo -en " $port"                                  print_info -en " $port"
                                 $IPTABLES -A FORWARD -p TCP --dport $port -m state --state NEW -j ACCEPT                                  $IPTABLES -A FORWARD -p TCP --dport $port -m state --state NEW -j ACCEPT
                         done                          done
                         echo " done."                          print_info " done."
                 fi                  fi
   
                 if [ ! -z "$NAT_FORWARD_UDP_PORTS" ]; then                  if [ ! -z "$NAT_FORWARD_UDP_PORTS" ]; then
                         echo -en "\tAccepting FORWARD UDP ports:"                          print_info -en "\tAccepting FORWARD UDP ports:"
                         for port in $NAT_FORWARD_UDP_PORTS; do                          for port in $NAT_FORWARD_UDP_PORTS; do
                                 echo -en " $port"                                  print_info -en " $port"
                                 $IPTABLES -A FORWARD -p UDP --dport $port -m state --state NEW -j ACCEPT                                  $IPTABLES -A FORWARD -p UDP --dport $port -m state --state NEW -j ACCEPT
                         done                          done
                         echo " done."                          print_info " done."
                 fi                  fi
   
                 echo -en "\tAccepting ICMP packets:"                  print_info -en "\tAccepting ICMP packets:"
                 for type in $ACCEPT_ICMP_PACKETS; do                  for type in $ACCEPT_ICMP_PACKETS; do
                         echo -en " $type"                          print_info -en " $type"
                         $IPTABLES -A FORWARD -p ICMP --icmp-type $type -j ACCEPT                          $IPTABLES -A FORWARD -p ICMP --icmp-type $type -j ACCEPT
                 done                  done
                 #$IPTABLES_LOG -A FORWARD -p ICMP -j LOG --log-prefix "FWD ICMP: "                  #$IPTABLES_LOG -A FORWARD -p ICMP -j LOG --log-prefix "FWD ICMP: "
                 echo " done."                  print_info " done."
   
                 # Port forwarding to local machines                  # Port forwarding to local machines
                 if [ ! -z "$NAT_TCP_PORT_FORWARD" ]; then                  if [ ! -z "$NAT_TCP_PORT_FORWARD" ]; then
                         echo -en "\tForwarding ports to local machines:"                          print_info -en "\tForwarding TCP ports to local machines:"
                         for redirect in $NAT_TCP_PORT_FORWARD; do                          for redirect in $NAT_TCP_PORT_FORWARD; do
                                 eval `echo $redirect | awk -v FS=: '{ printf "src_port=%s; local_machine=%s; dest_port=%s;", $1, $2, $3; }'`                                  eval `echo $redirect | $AWK -v FS=: '{ printf "src_port=%s; local_machine=%s; dest_port=%s;", $1, $2, $3; }'`
                                 echo -en " $src_port -> $local_machine:$dest_port"                                  print_info -en " $src_port -> $local_machine:$dest_port"
                                 $IPTABLES -t nat -A PREROUTING -p TCP -i $NAT_LAN_IFACE -d ${!lan_ip} \                                  $IPTABLES -t nat -A PREROUTING -p TCP -i $NAT_LAN_IFACE -d $lan_ip \
                                 --dport $src_port -j DNAT --to $local_machine:$dest_port                                  --dport $src_port -j DNAT --to $local_machine:$dest_port
                                 $IPTABLES -A FORWARD -p TCP -i $NAT_LAN_IFACE -d $local_machine --dport $dest_port -j ACCEPT                                  $IPTABLES -A FORWARD -p TCP -i $NAT_LAN_IFACE -d $local_machine --dport $dest_port -j ACCEPT
                         done                          done
                         echo " done."                          print_info " done."
                   fi
                   if [ ! -z "$NAT_UDP_PORT_FORWARD" ]; then
                           print_info -en "\tForwarding UDP ports to local machines:"
                           for redirect in $NAT_UDP_PORT_FORWARD; do
                                   eval `echo $redirect | $AWK -v FS=: '{ printf "src_port=%s; local_machine=%s; dest_port=%s;", $1, $2, $3; }'`
                                   print_info -en " $src_port -> $local_machine:$dest_port"
                                   $IPTABLES -t nat -A PREROUTING -p UDP -i $NAT_LAN_IFACE -d $lan_ip \
                                   --dport $src_port -j DNAT --to $local_machine:$dest_port
                                   $IPTABLES -A FORWARD -p UDP -i $NAT_LAN_IFACE -d $local_machine --dport $dest_port -j ACCEPT
                           done
                           print_info " done."
                 fi                  fi
   
                 # Keep state of connections from private subnets                  # Keep state of connections from private subnets
Riadok 428  masquerade()
Riadok 490  masquerade()
                 #$IPTABLES -A FORWARD -m state --state NEW -o $NAT_LAN_IFACE -j ACCEPT                  #$IPTABLES -A FORWARD -m state --state NEW -o $NAT_LAN_IFACE -j ACCEPT
                 $IPTABLES -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT                  $IPTABLES -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT
   
                   # hide NAT clients behind firewall: - set TTL
                   # XXX: warning: this breaks traceroute !!!
                   if [ ! "a$NAT_SET_TTL" = "ano" ]; then
                           print_info "NAT: clients hidden behind firewall - setting TTL to $NAT_SET_TTL"
                           $IPTABLES -t mangle -A POSTROUTING -o $NAT_LAN_IFACE -j TTL --ttl-set $NAT_SET_TTL
                   fi
   
   
         fi          fi
 } # }}}  } # }}}
   
Riadok 438  log_new_connections()
Riadok 508  log_new_connections()
                         if [ "x$NAT_LOG_NEW_CONNECTIONS" = "xyes" ]; then                          if [ "x$NAT_LOG_NEW_CONNECTIONS" = "xyes" ]; then
                                 NAT_LOG_NEW_CONNECTIONS="TCP UDP"                                  NAT_LOG_NEW_CONNECTIONS="TCP UDP"
                         fi                          fi
                         echo -en "Logging new connections $NAT_LOG_NEW_CONNECTIONS:"                          print_info -en "Logging new connections $NAT_LOG_NEW_CONNECTIONS:"
                         for proto in $NAT_LOG_NEW_CONNECTIONS; do                          for proto in $NAT_LOG_NEW_CONNECTIONS; do
                                 $IPTABLES_LOG -A INPUT   -m state --state NEW -p $proto -j LOG --log-prefix "IN  connection: "                                  $IPTABLES_LOG -A INPUT   -m state --state NEW -p $proto -j LOG --log-prefix "IN  connection: "
                                 $IPTABLES_LOG -A OUTPUT  -m state --state NEW -p $proto -j LOG --log-prefix "OUT connection: "                                  $IPTABLES_LOG -A OUTPUT  -m state --state NEW -p $proto -j LOG --log-prefix "OUT connection: "
                                 $IPTABLES_LOG -A FORWARD -m state --state NEW -p $proto -j LOG --log-prefix "FWD connection: "                                  $IPTABLES_LOG -A FORWARD -m state --state NEW -p $proto -j LOG --log-prefix "FWD connection: "
                         done                          done
                         echo " done."                          print_info " done."
                 fi                  fi
         fi          fi
 } # }}}  } # }}}
Riadok 459  drop_output()
Riadok 529  drop_output()
                 DROP_OUTPUT_UDP="${!drop_output_udp}"                  DROP_OUTPUT_UDP="${!drop_output_udp}"
   
                 if [ ! -z "$DROP_OUTPUT_TCP" ]; then                  if [ ! -z "$DROP_OUTPUT_TCP" ]; then
                         echo -en "$iface: Dropping outgoing packets from ports:"                          print_info -en "$iface: Dropping outgoing packets from ports:"
                         for port in $DROP_OUTPUT_TCP; do                          for port in $DROP_OUTPUT_TCP; do
                                 echo -en " $port"                                  print_info -en " $port"
                                 $IPTABLES -A FORWARD -p TCP --sport $port -o $iface -j DROP                                  $IPTABLES -A FORWARD -p TCP --sport $port -o $iface -j DROP
                                 $IPTABLES -A OUTPUT  -p TCP --sport $port -o $iface -j DROP                                  $IPTABLES -A OUTPUT  -p TCP --sport $port -o $iface -j DROP
                         done                          done
                         echo " done."                          print_info " done."
                 fi                  fi
   
                 if [ ! -z "$DROP_OUTPUT_UDP" ]; then                  if [ ! -z "$DROP_OUTPUT_UDP" ]; then
                         echo -en "$iface: Dropping outgoing packets from ports:"                          print_info -en "$iface: Dropping outgoing packets from ports:"
                         for port in $DROP_OUTPUT_UDP; do                          for port in $DROP_OUTPUT_UDP; do
                                 echo -en " $port"                                  print_info -en " $port"
                                 $IPTABLES -A FORWARD -p UDP --sport $port -o $iface -j DROP                                  $IPTABLES -A FORWARD -p UDP --sport $port -o $iface -j DROP
                                 $IPTABLES -A OUTPUT  -p UDP --sport $port -o $iface -j DROP                                  $IPTABLES -A OUTPUT  -p UDP --sport $port -o $iface -j DROP
                         done                          done
                         echo " done."                          print_info " done."
                 fi                  fi
         done          done
   
Riadok 493  bann_ip_adresses()
Riadok 563  bann_ip_adresses()
         #IP address is: 146.48.97.11 146.48.97.13          #IP address is: 146.48.97.11 146.48.97.13
         # User Agent: "UbiCrawler/v0.4beta (http://ubi.iit.cnr.it/projects/ubicrawler/)"          # User Agent: "UbiCrawler/v0.4beta (http://ubi.iit.cnr.it/projects/ubicrawler/)"
         #          #
           cf="$DEFAULT_FIREWALL_CONFIG_DIR/BANNED_IP.conf"
           if [ -f $cf ]; then
                   BANNED_IP="$BANNED_IP `read_config_ips $cf`"
           fi
         if [ ! -z "$BANNED_IP" ]; then          if [ ! -z "$BANNED_IP" ]; then
                 echo -en "Dropping ALL packets from IP:"                  print_info -en "Dropping ALL packets from IP:"
                 for banned_ip in $BANNED_IP; do                  for banned_ip in $BANNED_IP; do
                         echo -en " $banned_ip"                          print_info -en " $banned_ip"
                         $IPTABLES -A INPUT              -s $banned_ip -j DROP                          $IPTABLES -A INPUT              -s $banned_ip -j DROP
                         $IPTABLES -A FORWARD    -s $banned_ip -j DROP                          $IPTABLES -A FORWARD    -s $banned_ip -j DROP
                 done                  done
                 echo " done."                  print_info " done."
         fi          fi
 } # }}}  } # }}}
   
 allow_accept_all()  allow_accept_all()
 { # {{{  { # {{{
         if [ ! -z "$IFACE_ACCEPT_ALL" ]; then          if [ ! -z "$IFACE_ACCEPT_ALL" ]; then
                 echo -en "Accepting ALL packets on interfaces:"                  print_info -en "Accepting ALL packets on interfaces:"
                 for iface in $IFACE_ACCEPT_ALL; do                  for iface in $IFACE_ACCEPT_ALL; do
                         echo -en " $iface"                          print_info -en " $iface"
                         $IPTABLES -A INPUT   -i $iface -j ACCEPT                          $IPTABLES -A INPUT   -i $iface -j ACCEPT
                         $IPTABLES -A FORWARD -i $iface -j ACCEPT                          $IPTABLES -A FORWARD -i $iface -j ACCEPT
                         $IPTABLES -A OUTPUT  -o $iface -j ACCEPT                          $IPTABLES -A OUTPUT  -o $iface -j ACCEPT
                 done                  done
                 echo " done."                  print_info " done."
         fi          fi
 } # }}}  } # }}}
   
 allow_input()  drop_input()
 { # {{{  { # {{{
   
         if [ ! -z "$NAT_LAN_IFACE" ]; then          if [ ! -z "$NAT_LAN_IFACE" ]; then
                 for client_ip in $NAT_CLIENT_DROP; do                  for client_ip in $NAT_CLIENT_DROP; do
                         echo -en " !$client_ip";                          print_info -en " !$client_ip";
                         $IPTABLES -A INPUT -s $client_ip -i $NAT_SUBNET_IFACE -j DROP                          $IPTABLES -A INPUT -s $client_ip -i $NAT_SUBNET_IFACE -j DROP
                 done                  done
         fi          fi
           if [ ! -z "$ALL_DROP_INPUT_TCP" ]; then
                   print_info -en "Drop ALL INPUT TCP connections on ports:"
                   for port in $ALL_DROP_INPUT_TCP; do
                           for iface in $INTERFACES; do
                                   print_info -en " $port($iface)"
                                   $IPTABLES -A INPUT -i $iface -p TCP --dport $port -j DROP
                           done
                   done
                   print_info " done."
           fi
           if [ ! -z "$ALL_DROP_INPUT_UDP" ]; then
                   print_info -en "Drop ALL INPUT UDP connections on ports:"
                   for port in $ALL_DROP_INPUT_UDP; do
                           for iface in $INTERFACES; do
                                   print_info -en " $port($iface)"
                                   $IPTABLES -A INPUT -i $iface -p UDP --dport $port -j DROP
                           done
                   done
                   print_info " done."
           fi
   } # }}}
   
   reject_input()
   { # {{{
           if [ ! -z "$ALL_REJECT_INPUT_TCP" ]; then
                   print_info -en "Reject ALL INPUT TCP connections on ports:"
                   for port in $ALL_REJECT_INPUT_TCP; do
                           for iface in $INTERFACES; do
                                   print_info -en " $port($iface)"
                                   $IPTABLES -A INPUT -i $iface -p TCP --dport $port -j REJECT --reject-with $REJECT_WITH
                           done
                   done
                   print_info " done."
           fi
           if [ ! -z "$ALL_REJECT_INPUT_UDP" ]; then
                   print_info -en "Reject ALL INPUT UDP connections on ports:"
                   for port in $ALL_REJECT_INPUT_UDP; do
                           for iface in $INTERFACES; do
                                   print_info -en " $port($iface)"
                                   $IPTABLES -A INPUT -i $iface -p UDP --dport $port -j REJECT --reject-with $REJECT_WITH
                           done
                   done
                   print_info " done."
           fi
   } # }}}
   
   allow_input()
   { # {{{
   
         if [ ! -z "$ALL_ACCEPT_INPUT_TCP" ]; then          if [ ! -z "$ALL_ACCEPT_INPUT_TCP" ]; then
                 echo -en "Accepting ALL INPUT TCP connections on ports:"                  print_info -en "Accepting ALL INPUT TCP connections on ports:"
                 for port in $ALL_ACCEPT_INPUT_TCP; do                  for port in $ALL_ACCEPT_INPUT_TCP; do
                           src_ip=""
                           eval `echo $port | awk -v FS=: '/:/ { printf "src_ip=\"%s\"; port=\"%s\";", $1, $2; }'`
                         for iface in $INTERFACES; do                          for iface in $INTERFACES; do
                                 echo -en " $port($iface)"                                  print_info -en " $port($iface)"`[ ! -z $src_ip ] && echo "[$src_ip]"`
                                 IPS="IP_$iface";                                  IPS="IP_$iface";
                                 for ip in ${!IPS}; do                                  for ip in ${!IPS}; do
                                         $IPTABLES -A INPUT -i $iface -d $ip -p TCP --dport $port -j ACCEPT                                          if [ -z "$src_ip" ]; then
                                                   $IPTABLES -A INPUT -i $iface -d $ip -p TCP --dport $port -j ACCEPT
                                           else
                                                   $IPTABLES -A INPUT -i $iface -s $src_ip -d $ip -p TCP --dport $port -j ACCEPT
                                           fi
                                 done                                  done
                         done                          done
                 done                  done
                 echo " done."                  print_info " done."
         fi          fi
         if [ ! -z "$ALL_ACCEPT_INPUT_UDP" ]; then          if [ ! -z "$ALL_ACCEPT_INPUT_UDP" ]; then
                 echo -en "Accepting ALL INPUT UDP connections on ports:"                  print_info -en "Accepting ALL INPUT UDP connections on ports:"
                 for port in $ALL_ACCEPT_INPUT_UDP; do                  for port in $ALL_ACCEPT_INPUT_UDP; do
                           src_ip=""
                           eval `echo $port | awk -v FS=: '/:/ { printf "src_ip=\"%s\"; port=\"%s\";", $1, $2; }'`
                         for iface in $INTERFACES; do                          for iface in $INTERFACES; do
                                 echo -en " $port($iface)"                                  print_info -en " $port($iface)"`[ ! -z $src_ip ] && echo "[$src_ip]"`
                                 IPS="IP_$iface";                                  IPS="IP_$iface";
                                 for ip in ${!IPS}; do                                  for ip in ${!IPS}; do
                                         $IPTABLES -A INPUT -i $iface -d $ip -p UDP --dport $port -j ACCEPT                                          if [ -z "$src_ip" ]; then
                                                   $IPTABLES -A INPUT -i $iface -d $ip -p UDP --dport $port -j ACCEPT
                                           else
                                                   $IPTABLES -A INPUT -i $iface -s $src_ip -d $ip -p UDP --dport $port -j ACCEPT
                                           fi
                                 done                                  done
                         done                          done
                 done                  done
                 echo " done."                  print_info " done."
         fi          fi
   
         for iface in $INTERFACES; do          for iface in $INTERFACES; do
Riadok 562  allow_input()
Riadok 696  allow_input()
                 redirect_udp="${iface}_REDIRECT_UDP"                  redirect_udp="${iface}_REDIRECT_UDP"
                 REDIRECT_UDP="${!redirect_udp}"                  REDIRECT_UDP="${!redirect_udp}"
   
                   reject_input_tcp="${iface}_REJECT_INPUT_TCP"
                   REJECT_INPUT_TCP="${!reject_input_tcp}"
                   reject_input_udp="${iface}_REJECT_INPUT_UDP"
                   REJECT_INPUT_UDP="${!reject_input_udp}"
   
                 accept_input_tcp="${iface}_ACCEPT_INPUT_TCP"                  accept_input_tcp="${iface}_ACCEPT_INPUT_TCP"
                 ACCEPT_INPUT_TCP="${!accept_input_tcp}"                  ACCEPT_INPUT_TCP="${!accept_input_tcp}"
                 accept_input_udp="${iface}_ACCEPT_INPUT_UDP"                  accept_input_udp="${iface}_ACCEPT_INPUT_UDP"
                 ACCEPT_INPUT_UDP="${!accept_input_udp}"                  ACCEPT_INPUT_UDP="${!accept_input_udp}"
   
                 if [ ! -z "$REDIRECT_TCP" ]; then                  if [ ! -z "$REDIRECT_TCP" ]; then
                         echo -en "$iface: redirecting TCP connections:"                          print_info -en "$iface: redirecting TCP connections:"
                         ip="`get_first_ip_addr IP_$iface`";                          ip="`get_first_ip_addr IP_$iface`";
                         for redirect in $REDIRECT_TCP; do                          for redirect in $REDIRECT_TCP; do
                                 eval `echo $redirect | \                                  eval `echo $redirect | \
                                         awk -v FS=: '   (NF == 2) { remote_ip = "0.0.0.0/0"; from_port = $1; to_port = $2; } \                                          $AWK -v FS=: '  (NF == 2) { remote_ip = "0.0.0.0/0"; from_port = $1; to_port = $2; } \
                                                                         (NF == 3) { remote_ip = $1;          from_port = $2; to_port = $3; } \                                                                          (NF == 3) { remote_ip = $1;          from_port = $2; to_port = $3; } \
                                                                         END { printf "remote_ip=%s; from_port=%s; to_port=%s;", remote_ip, from_port, to_port; }'`                                                                          END { printf "remote_ip=%s; from_port=%s; to_port=%s;", remote_ip, from_port, to_port; }'`
                                 echo -en " $remote_ip:$from_port->$to_port"                                  print_info -en " $remote_ip:$from_port->$to_port"
                                 $IPTABLES -t nat -A PREROUTING -p TCP -i $iface -s $remote_ip -d $ip --dport $from_port -j REDIRECT --to-port $to_port                                  $IPTABLES -t nat -A PREROUTING -p TCP -i $iface -s $remote_ip -d $ip --dport $from_port -j REDIRECT --to-port $to_port
                         done                          done
                         echo " done."                          print_info " done."
                 fi                  fi
   
                 if [ ! -z "$REDIRECT_UDP" ]; then                  if [ ! -z "$REDIRECT_UDP" ]; then
                         echo -en "$iface: redirecting UDP connections:"                          print_info -en "$iface: redirecting UDP connections:"
                         ip="`get_first_ip_addr IP_$iface`";                          ip="`get_first_ip_addr IP_$iface`";
                         for redirect in $REDIRECT_UDP; do                          for redirect in $REDIRECT_UDP; do
                                 eval `echo $redirect | \                                  eval `echo $redirect | \
                                         awk -v FS=: '   (NF == 2) { remote_ip = "0.0.0.0/0"; from_port = $1; to_port = $2; } \                                          $AWK -v FS=: '  (NF == 2) { remote_ip = "0.0.0.0/0"; from_port = $1; to_port = $2; } \
                                                                         (NF == 3) { remote_ip = $1;          from_port = $2; to_port = $3; } \                                                                          (NF == 3) { remote_ip = $1;          from_port = $2; to_port = $3; } \
                                                                         END { printf "remote_ip=%s; from_port=%s; to_port=%s;", remote_ip, from_port, to_port; }'`                                                                          END { printf "remote_ip=%s; from_port=%s; to_port=%s;", remote_ip, from_port, to_port; }'`
                                 echo -en " $remote_ip:$from_port->$to_port"                                  print_info -en " $remote_ip:$from_port->$to_port"
                                 $IPTABLES -t nat -A PREROUTING -p UDP -i $iface -s $remote_ip -d $ip --dport $from_port -j REDIRECT --to-port $to_port                                  $IPTABLES -t nat -A PREROUTING -p UDP -i $iface -s $remote_ip -d $ip --dport $from_port -j REDIRECT --to-port $to_port
                         done                          done
                         echo " done."                          print_info " done."
                   fi
   
                   # REJECT {{{
                   if [ ! -z "$REJECT_INPUT_TCP" ]; then
                           print_info -en "$iface: Rejecting INPUT TCP connections on ports:"
                           for port in $REJECT_INPUT_TCP; do
                                   src_ip=""
                                   eval `echo $port | awk -v FS=: '/:/ { printf "src_ip=\"%s\"; port=\"%s\";", $1, $2; }'`
                                   print_info -en " $port"`[ ! -z $src_ip ] && echo "[$src_ip]"`
                                   for ip in ${!IPS}; do
                                           if [ -z $src_ip ]; then
                                                   $IPTABLES -A INPUT -i $iface -d $ip -p TCP --dport $port -j REJECT --reject-with $REJECT_WITH
                                           else
                                                   $IPTABLES -A INPUT -i $iface -s $src_ip -d $ip -p TCP --dport $port -j REJECT --reject-with $REJECT_WITH
                                           fi
                                   done
                           done
                           print_info " done."
                   fi
   
                   if [ ! -z "$REJECT_INPUT_UDP" ]; then
                           print_info -en "$iface: Rejecting INPUT UDP connections on ports:"
                           for port in $REJECT_INPUT_UDP; do
                                   src_ip=""
                                   eval `echo $port | awk -v FS=: '/:/ { printf "src_ip=\"%s\"; port=\"%s\";", $1, $2; }'`
                                   print_info -en " $port"`[ ! -z $src_ip ] && echo "[$src_ip]"`
                                   for ip in ${!IPS}; do
                                           if [ -z $src_ip ]; then
                                                   $IPTABLES -A INPUT -i $iface -d $ip -p UDP --dport $port -j REJECT --reject-with $REJECT_WITH
                                           else
                                                   $IPTABLES -A INPUT -i $iface -s $src_ip -d $ip -p UDP --dport $port -j REJECT --reject-with $REJECT_WITH
                                           fi
                                   done
                           done
                           print_info " done."
                 fi                  fi
                   # }}}
   
                   # ACCEPT {{{
                 if [ ! -z "$ACCEPT_INPUT_TCP" ]; then                  if [ ! -z "$ACCEPT_INPUT_TCP" ]; then
                         echo -en "$iface: Accepting INPUT TCP connections on ports:"                          print_info -en "$iface: Accepting INPUT TCP connections on ports:"
                         for port in $ACCEPT_INPUT_TCP; do                          for port in $ACCEPT_INPUT_TCP; do
                                 echo -en " $port"                                  src_ip=""
                                   eval `echo $port | awk -v FS=: '/:/ { printf "src_ip=\"%s\"; port=\"%s\";", $1, $2; }'`
                                   print_info -en " $port"`[ ! -z $src_ip ] && echo "[$src_ip]"`
                                 for ip in ${!IPS}; do                                  for ip in ${!IPS}; do
                                         $IPTABLES -A INPUT -i $iface -d $ip -p TCP --dport $port -j ACCEPT                                          if [ -z $src_ip ]; then
                                                   $IPTABLES -A INPUT -i $iface -d $ip -p TCP --dport $port -j ACCEPT
                                           else
                                                   $IPTABLES -A INPUT -i $iface -s $src_ip -d $ip -p TCP --dport $port -j ACCEPT
                                           fi
                                 done                                  done
                         done                          done
                         echo " done."                          print_info " done."
                 fi                  fi
   
                 if [ ! -z "$ACCEPT_INPUT_UDP" ]; then                  if [ ! -z "$ACCEPT_INPUT_UDP" ]; then
                         echo -en "$iface: Accepting INPUT UDP connections on ports:"                          print_info -en "$iface: Accepting INPUT UDP connections on ports:"
                         for port in $ACCEPT_INPUT_UDP; do                          for port in $ACCEPT_INPUT_UDP; do
                                 echo -en " $port"                                  src_ip=""
                                   eval `echo $port | awk -v FS=: '/:/ { printf "src_ip=\"%s\"; port=\"%s\";", $1, $2; }'`
                                   print_info -en " $port"`[ ! -z $src_ip ] && echo "[$src_ip]"`
                                 #$IPTABLES -A INPUT -i $iface -d ${!INET_IP} -p UDP --dport $port -j ACCEPT                                  #$IPTABLES -A INPUT -i $iface -d ${!INET_IP} -p UDP --dport $port -j ACCEPT
                                 #$IPTABLES -A INPUT -i $iface --source 192.168.1.0/16 -p UDP --dport $port -j ACCEPT                                  #$IPTABLES -A INPUT -i $iface --source 192.168.1.0/16 -p UDP --dport $port -j ACCEPT
                                 for ip in ${!IPS}; do                                  for ip in ${!IPS}; do
                                         $IPTABLES -A INPUT -i $iface -d $ip -p UDP --dport $port -j ACCEPT                                          if [ -z $src_ip ]; then
                                                   $IPTABLES -A INPUT -i $iface -d $ip -p UDP --dport $port -j ACCEPT
                                           else
                                                   $IPTABLES -A INPUT -i $iface -s $src_ip -d $ip -p UDP --dport $port -j ACCEPT
                                           fi
                                 done                                  done
                         done                          done
                         echo " done."                          print_info " done."
                 fi                  fi
                   # }}}
         done          done
   
         # Enable outgoing TRACEROUTE requests (required e.g. by Skype, http://www.skype.com)          # Enable outgoing TRACEROUTE requests (required e.g. by Skype, http://www.skype.com)
         if [ ! -z "$TRACEROUTE_IFACE" ]; then          if [ ! -z "$TRACEROUTE_IFACE" ]; then
                 ip="`get_first_ip_addr IP_$ANTISPOOF_IFACE`";                  ip="`get_first_ip_addr IP_$ANTISPOOF_IFACE`";
                 echo -en "Accepting traceroute:"                  print_info -en "Accepting traceroute:"
   
                 $IPTABLES -A OUTPUT -o $ANTISPOOF_IFACE -p UDP \                  $IPTABLES -A OUTPUT -o $ANTISPOOF_IFACE -p UDP \
                         --sport $TRACEROUTE_SRC_PORTS --dport $TRACEROUTE_DEST_PORTS \                          --sport $TRACEROUTE_SRC_PORTS --dport $TRACEROUTE_DEST_PORTS \
Riadok 633  allow_input()
Riadok 822  allow_input()
                         $IPTABLES -A FORWARD -p UDP -i $iface --sport $TRACEROUTE_SRC_PORTS \                          $IPTABLES -A FORWARD -p UDP -i $iface --sport $TRACEROUTE_SRC_PORTS \
                                 --dport $TRACEROUTE_DEST_PORTS -j ACCEPT                                  --dport $TRACEROUTE_DEST_PORTS -j ACCEPT
                 done                  done
                 echo " done."                  print_info " done."
         fi          fi
   
 } # }}}  } # }}}
Riadok 643  allow_output()
Riadok 832  allow_output()
 { # {{{  { # {{{
   
         # Povolíme odchozí pakety, které mají naše IP adresy          # Povolíme odchozí pakety, které mají naše IP adresy
         echo -en "Accepting OUTPUT packets from"          print_info -en "Accepting OUTPUT packets from"
         for iface in $INTERFACES; do          for iface in $INTERFACES; do
                 IPS="IP_$iface";                  IPS="IP_$iface";
                 for ip in ${!IPS}; do                  for ip in ${!IPS}; do
                         echo -en " $ip($iface)"                          print_info -en " $ip($iface)"
                         $IPTABLES -A OUTPUT -o $iface -s $ip -j ACCEPT                          $IPTABLES -A OUTPUT -o $iface -s $ip -j ACCEPT
                 done                  done
         done;          done;
         echo " done.";          print_info " done.";
   
 } # }}}  } # }}}
   
 allow_icmp()  allow_icmp()
 { # {{{  { # {{{
   
         echo -en "Accepting ICMP packets:"          print_info -en "Accepting ICMP packets:"
         # Službu AUTH není dobré filtrovat pomocí DROP, protože to může  
         # vést k prodlevám při navazování některých spojení. Proto jej  
         # sice zamítneme, ale vygenerujeme korektní ICMP chybovou zprávu  
         $IPTABLES -A INPUT -p TCP --dport 113 -j REJECT --reject-with tcp-reset #AUTH server  
   
         # accept only allowed ICMP packets          # accept only allowed ICMP packets
         for type in $ACCEPT_ICMP_PACKETS; do          for type in $ACCEPT_ICMP_PACKETS; do
                 echo -en " $type"                  print_info -en " $type"
                 for iface in $INTERFACES; do                  for iface in $INTERFACES; do
                         IPS="IP_$iface";                          IPS="IP_$iface";
                         for ip in ${!IPS}; do                          for ip in ${!IPS}; do
Riadok 676  allow_icmp()
Riadok 861  allow_icmp()
         done          done
         #$IPTABLES_LOG -A INPUT  -p ICMP -j LOG --log-prefix "IN  ICMP: "          #$IPTABLES_LOG -A INPUT  -p ICMP -j LOG --log-prefix "IN  ICMP: "
         #$IPTABLES_LOG -A OUTPUT -p ICMP -j LOG --log-prefix "OUT ICMP: "          #$IPTABLES_LOG -A OUTPUT -p ICMP -j LOG --log-prefix "OUT ICMP: "
         echo " done."          print_info " done."
   
 } # }}}  } # }}}
   
Riadok 685  log_input_drop()
Riadok 870  log_input_drop()
   
         if [ ! "x$LOGGING" = "xoff" ]; then          if [ ! "x$LOGGING" = "xoff" ]; then
                 prefix="input drop: "                  prefix="input drop: "
                 echo "Input drop is logged with prefix '$prefix'"                  print_info "Input drop is logged with prefix '$prefix'"
                 $IPTABLES_LOG -A INPUT $LOG_LIMIT "$prefix"                  $IPTABLES_LOG -A INPUT $LOG_LIMIT "$prefix"
         fi          fi
   
Riadok 696  log_output_drop()
Riadok 881  log_output_drop()
   
         if [ ! "x$LOGGING" = "xoff" ]; then          if [ ! "x$LOGGING" = "xoff" ]; then
                 prefix="output drop: "                  prefix="output drop: "
                 echo "Output drop is logged with prefix '$prefix'"                  print_info "Output drop is logged with prefix '$prefix'"
                 $IPTABLES_LOG -A OUTPUT $LOG_LIMIT "$prefix"                  $IPTABLES_LOG -A OUTPUT $LOG_LIMIT "$prefix"
         fi          fi
   
Riadok 707  log_forward_drop()
Riadok 892  log_forward_drop()
   
         if [ ! "x$LOGGING" = "xoff" ]; then          if [ ! "x$LOGGING" = "xoff" ]; then
                 prefix="forward drop: "                  prefix="forward drop: "
                 echo "Forward drop is logged with prefix '$prefix'"                  print_info "Forward drop is logged with prefix '$prefix'"
                 $IPTABLES_LOG -A FORWARD $LOG_LIMIT "$prefix"                  $IPTABLES_LOG -A FORWARD $LOG_LIMIT "$prefix"
         fi          fi
   
 } # }}}  } # }}}
   
   configure_special_rules()
   { # {{{
   
           print_info -en "Loading special rules: "
           ##
           ## for DSL from Slovanet (Slovak DSL provider) and DSL modem DLINK DSL-360T you must add following rule for proper ssh connect to your machine
           ##
           # print_info -en "slovanet "
           # $IPTABLES -t mangle -A OUTPUT -s 0/0 -j DSCP --set-dscp 0
   
           print_info " done.";
   
   } # }}}
   
 do_ip_accounting()  do_ip_accounting()
 { # {{{  { # {{{
   
Riadok 729  do_ip_accounting()
Riadok 928  do_ip_accounting()
   
                         ip="`get_first_ip_addr IP_$NAT_SUBNET_IFACE`";                          ip="`get_first_ip_addr IP_$NAT_SUBNET_IFACE`";
                         netmask="Mask_$NAT_SUBNET_IFACE"                          netmask="Mask_$NAT_SUBNET_IFACE"
                         localnet="${!ip}/${!netmask}"                          localnet="$ip/${!netmask}"
   
                         $IPTABLES -I INPUT  -i $NAT_LAN_IFACE -j $IPACCT_IN_NAME                          $IPTABLES -I INPUT  -i $NAT_LAN_IFACE -j $IPACCT_IN_NAME
                         $IPTABLES -I OUTPUT -o $NAT_LAN_IFACE -j $IPACCT_OUT_NAME                          $IPTABLES -I OUTPUT -o $NAT_LAN_IFACE -j $IPACCT_OUT_NAME
Riadok 743  do_ip_accounting()
Riadok 942  do_ip_accounting()
                         done                          done
   
                         if [ ! "x$DO_LOCAL_IP_ACCOUNTING" = "xno" ]; then                          if [ ! "x$DO_LOCAL_IP_ACCOUNTING" = "xno" ]; then
                                 accountig_ports=`echo "$NAT_TCP_PORT_REDIRECT " | awk -v RS=' ' -v FS=:  '{ print $2; }' | sort -u -r -g `                                  accountig_ports=`echo "$NAT_TCP_PORT_REDIRECT " | $AWK -v RS=' ' -v FS=:  '{ print $2; }' | sort -u -r -g `
                                 for port in $accountig_ports; do                                  for port in $accountig_ports; do
                                         $IPTABLES -I INPUT -i $NAT_SUBNET_IFACE -p TCP --dport $port -j $IPACCT_NAME                                          $IPTABLES -I INPUT -i $NAT_SUBNET_IFACE -p TCP --dport $port -j $IPACCT_NAME
                                         $IPTABLES -I INPUT -i $NAT_SUBNET_IFACE -p UDP --dport $port -j $IPACCT_NAME                                          $IPTABLES -I INPUT -i $NAT_SUBNET_IFACE -p UDP --dport $port -j $IPACCT_NAME
Riadok 763  do_ip_accounting()
Riadok 962  do_ip_accounting()
 accept_related()  accept_related()
 { # {{{  { # {{{
   
         echo -en "Accepting ESTABLISHED, RELATED packets for IP:"          print_info -en "Accepting ESTABLISHED, RELATED packets for IP:"
         for iface in $INTERFACES; do          for iface in $INTERFACES; do
                 IPS="IP_$iface";                  IPS="IP_$iface";
                 for ip in ${!IPS}; do                  for ip in ${!IPS}; do
                         echo -en " $ip($iface)"                          print_info -en " $ip($iface)"
                 done                  done
                 $IPTABLES -A INPUT      -m state --state ESTABLISHED,RELATED -j ACCEPT                  $IPTABLES -A INPUT      -m state --state ESTABLISHED,RELATED -j ACCEPT
                 $IPTABLES -A OUTPUT     -m state --state ESTABLISHED,RELATED -j ACCEPT                  $IPTABLES -A OUTPUT     -m state --state ESTABLISHED,RELATED -j ACCEPT
         done          done
         echo " done."          print_info " done."
   
 } # }}}  } # }}}
   
Riadok 780  accept_loopback()
Riadok 979  accept_loopback()
 { # {{{  { # {{{
   
         # Loopback není radno omezovat          # Loopback není radno omezovat
         echo -en "Accepting loopback:"          print_info -en "Accepting loopback:"
         $IPTABLES -A INPUT  -i $LO_IFACE -j ACCEPT          $IPTABLES -A INPUT  -i $LO_IFACE -j ACCEPT
         $IPTABLES -A OUTPUT -o $LO_IFACE -j ACCEPT          $IPTABLES -A OUTPUT -o $LO_IFACE -j ACCEPT
         echo " done."          print_info " done."
   
 } # }}}  } # }}}
   
   add_banned_ip()
   { # {{{
           echo "# `date '+%Y-%m-%d %X' ` - ${SSH_CLIENT:=local}" >> $DEFAULT_FIREWALL_CONFIG_DIR/BANNED_IP.conf
           TMPFILE=`mktemp -t fw-universal.sh-XXXXXX` || exit 1
           trap 'rm -f $TMPFILE' 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15
           if [ -z "$*" ]; then
                   print_info "Reading banned IP's from STDIN:"
                   cat >> $TMPFILE
           else
                   for IP in $*; do
                           echo $IP >> $TMPFILE;
                   done
           fi
           read_config_ips $TMPFILE >> $DEFAULT_FIREWALL_CONFIG_DIR/BANNED_IP.conf
           rm -f $TMPFILE
   } # }}}
   
   deploy_block()
   { # {{{
           if [ -z "$*" ]; then
                   echo "Usage: $0 deploy-block IP1/netmask1 IP2/netmask2 ..."
                   exit 1;
           fi
           print_info "Deploying to local rules ..."
           add_banned_ip $*
           # start the some script twice to refresh rules (new blocked IP's)
           QUIET=yes $0 start
           TMPFILE=`mktemp -t fw-universal.sh-XXXXXX` || exit 1
           trap 'rm -f $TMPFILE' 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15
           for i in $*; do
                   echo $i >> $TMPFILE;
           done
           while read conn keyfile
           do
              case "$conn" in
                      ""|\#*)
                              continue
                              ;;
              esac
              print_info "Deploying to $conn ...";
              cat $TMPFILE | ssh -i $keyfile $conn $0 block
           done < $DEFAULT_FIREWALL_CONFIG_DIR/deploy-servers.list
           rm -f $TMPFILE
   } # }}}
   
 # Parse output from ifconfig: - tested on Linux and FreeBSD  # Parse output from ifconfig: - tested on Linux and FreeBSD
 # http://platon.sk/cvs/cvs.php/scripts/shell/firewall/ifconfig-parse.sh  # http://platon.sk/cvs/cvs.php/scripts/shell/firewall/ifconfig-parse.sh
 parse_ifconfig()  parse_ifconfig()
 { # {{{  { # {{{
         # Parse output from ifconfig:          # Parse output from ifconfig:
         parsed_interfaces=`$IFCONFIG | \          parsed_interfaces=`$IFCONFIG | \
                 $AWK '                  $PERL -e '
 BEGIN {  my $iface_count = 0;
         iface_count = 0;  my $iface;
 }  my (%ip6, %scope6, %bcast, %mask, %hwaddr, %ipcount);
   
 /^[a-zA-Z0-9:]+[ \t]+/ { # Linux interface  while (my $line = <STDIN>) {
         split($1, fields, ":");          chomp $line;
         iface = fields[1];          if ($line =~ m/^([a-z0-9:]+)\s+.*?([a-z0-9:]+)\s*$/i) { # Linux interface
         ipcount[iface]++;                  $iface  = $1;
         hwaddr[iface] = $NF;                  my $iface_hwaddr = $2;
         iface_count++;                  $iface  = [ $iface =~ m/^([a-z0-9]+)/i ]->[0]; # convert "eth0:0" --> "eth0"
 }                  $ipcount{$iface}++;
                   $hwaddr{$iface} = $iface_hwaddr;
 /^[ \t]+inet addr:/ { # Linux IP address                  $iface_count++;
         split($0, fields, "[ \t:]+");          }
         ip[iface, ipcount[iface]] = fields[4];          elsif ($line =~ m/^[ \t]+inet addr:/) { # Linux IP address
         bcast[iface] = fields[6]; # bad for loopback interface, but we don t need this                  die unless defined $iface;
         idx = length(fields);                  my @fields = split(/[\s:]+/, $line);
         mask[iface] = fields[idx];                  push @{$ip{$iface}}, $fields[3];
 }                  $bcast{$iface} = $fields[5]     || ""; # invalid for loopback interface lo, but we don t need this
                   $mask{$iface} = $fields[7]      || $fields[5]; # for loopback interface lo
           }
           elsif($line =~ m/^[ \t]+inet6 addr:/) { # Linux IPv6 address
                   die unless defined $iface;
                   my @fields = split(/\s+/, $line);
                   push @{$ip6{$iface}}, $fields[3];
                   $scope6{$iface} = [ $fields[4] =~ m/Scope:(.*)$/i ]->[0];
           }
   
 /^[ \t]+inet6 addr:/ { # Linux IPv6 address  
         split($0, fields, "[ \t]+");  
         ip6[iface] = fields[4];  
         scope6[iface] = fields[5];  
 }  }
   
 END {  map { printf "IP_%s=\"%s\";                     export IP_%s;\n",               $_, join(" ", @{$ip{$_}}),      $_; } keys %ip;
         for (i in ip6)          { printf "IFACE_6_%s=\"%s\";    export IFACE_6_%s;\n",  i, ip6[i],              i; }  map { printf "IFACE_6_%s=\"%s\";        export IFACE_6_%s;\n",  $_, join(" ", @{$ip6{$_}}),     $_; } keys %ip6;
         for (i in scope6)       { printf "SCOPE_6_%s=\"%s\";    export SCOPE_6_%s;\n",  i, scope6[i],   i; }  map { printf "SCOPE_6_%s=\"%s\";        export SCOPE_6_%s;\n",  $_, $scope6{$_},        $_; } keys %scope6;
         for (i in bcast)        { printf "Bcast_%s=\"%s\";              export Bcast_%s;\n",    i, bcast[i],    i; }  map { printf "Bcast_%s=\"%s\";          export Bcast_%s;\n",    $_, $bcast{$_}, $_; } keys %bcast;
         for (i in mask)         { printf "Mask_%s=\"%s\";               export Mask_%s;\n",             i, mask[i],             i; }  map { printf "Mask_%s=\"%s\";           export Mask_%s;\n",             $_, $mask{$_},  $_; } keys %mask;
         for (i in hwaddr)       { printf "HWaddr_%s=\"%s\";             export HWaddr_%s;\n",   i, hwaddr[i],   i; }  map { printf "HWaddr_%s=\"%s\";         export HWaddr_%s;\n",   $_, $hwaddr{$_},        $_; } keys %hwaddr;
         for (i in ipcount)      { printf "IPcount_%s=\"%s\";    export IPcount_%s;\n",  i, ipcount[i],  i; }  map { printf "IPcount_%s=\"%s\";        export IPcount_%s;\n",  $_, $ipcount{$_},       $_; } keys %ipcount;
         for (i in ipcount) {  printf "interfaces=\"%s\";      export interfaces;\n", join(" ", keys %ip);
                 printf "IP_%s=\"", i;  
                 for (n = 1; n <= ipcount[i]; n++) {  
                         printf "%s ", ip[i, n];  
                 }  
                 printf "\";     export IP_%s;\n", i;  
         }  
         printf "interfaces=\"";  
         for (i in ipcount) { printf "%s ", i; }  
         printf "\";     export interfaces;\n";  
 }  
         '`          '`
         eval "$parsed_interfaces";          eval "$parsed_interfaces";
   
         parsed_routes=`perl -e '          parsed_routes=`$PERL -e '
         $\ = "\n";          $\ = "\n";
         open(FILE, "/proc/net/route") or die "Can not open /proc/net/route: $!";          open(FILE, "/proc/net/route") or die "Can not open /proc/net/route: $!";
         my @columns = split(/\s+/, <FILE>);          my @columns = split(/\s+/, <FILE>);
Riadok 928  INTERFACES_ACCEPT_ALL="$IFACE_ACCEPT_ALL
Riadok 1166  INTERFACES_ACCEPT_ALL="$IFACE_ACCEPT_ALL
   
 case "$1" in  case "$1" in
         start)          start)
                 echo -n "Starting $DESC: "                  print_info -n "Starting $DESC: "
                 # Inicialize modules                  # Inicialize modules
                 #$DEPMOD -a                  #$DEPMOD -a
                 load_modules                  load_modules
Riadok 943  case "$1" in
Riadok 1181  case "$1" in
                 nmap_scan_filter                  nmap_scan_filter
                 invalid_packet_filter                  invalid_packet_filter
                 anti_spoof_filter                  anti_spoof_filter
                 syn_flood                  #syn_flood
                 mangle_prerouting                  mangle_prerouting
                 mangle_output                  mangle_output
                   accept_related
                 log_new_connections                  log_new_connections
                 drop_output                  drop_output
                   drop_input
                   reject_input
                 allow_input                  allow_input
                 allow_output                  allow_output
                 allow_icmp                  allow_icmp
                 accept_related  
                 accept_loopback                  accept_loopback
                 masquerade                  masquerade
                 log_input_drop                  log_input_drop
Riadok 959  case "$1" in
Riadok 1199  case "$1" in
                 log_forward_drop                  log_forward_drop
                 forward_on                  forward_on
                 do_ip_accounting                  do_ip_accounting
                   configure_special_rules
                 $IPTABLES_SAVE -c > $CACHE_FILE                  $IPTABLES_SAVE -c > $CACHE_FILE
                 ;;                  ;;
   
         stop)          stop)
                 echo -n "Stopping $DESC: "                  print_info -n "Stopping $DESC: "
                 set_default_policy                  set_default_policy
                 remove_chains                  remove_chains
                 unload_modules                  unload_modules
Riadok 972  case "$1" in
Riadok 1213  case "$1" in
                 ;;                  ;;
   
         really-off)          really-off)
                 echo -n "Stopping $DESC: removing ALL rules, all packets are dropped !!"                  print_info -n "Stopping $DESC: removing ALL rules, all packets are dropped !!"
                 set_default_policy                  set_default_policy
                 remove_chains                  remove_chains
                 unload_modules                  unload_modules
Riadok 987  case "$1" in
Riadok 1228  case "$1" in
         purge)          purge)
                 find $DEFAULT_CACHE_DIR -type f -ls -exec rm -f {} \;                  find $DEFAULT_CACHE_DIR -type f -ls -exec rm -f {} \;
                 ;;                  ;;
           block)
                   shift;
                   add_banned_ip $*;
                   # start the some script twice to refresh rules (new blocked IP's)
                   QUIET=yes $0 start;
                   ;;
           deploy-block)
                   shift;
                   deploy_block $*;
                   ;;
         *)          *)
                 echo "Usage: $0 {start|stop|really-off|status|purge}" >&2                  echo "Usage: $0 {start|stop|really-off|status|purge|block|deploy-block}" >&2
                 exit 1                  exit 1
                 ;;                  ;;
 esac  esac

Legend:
Odstranené z verzie2.37  
zmenené riadky
  Pridané vo verzii2.57

Platon Group <platon@platon.sk> http://platon.sk/
Copyright © 2002-2006 Platon Group
Stránka používa redakčný systém Metafox
Na začiatok