Firewall Handbuch für LINUX 2.0 und 2.2: Aufbau der LINUX Firewall mit ipfwadm: Die kompletten Firewall

9.15 Die kompletten Firewall - Regeln

Hier nun ein vollständig kommentiertes Skript, welches auf GPL RedHat LINUX (fast) lauffähig ist. Es bedarf noch einiger Ergänzungen von etwas später im Skript benutzen Variablen, bitte hierzu das Kapitel FAQ lesen. Wer sich jedoch noch nicht so gut mit den Firewallregeln auskennt, der mag ein Skript aus einem anderen Generator probieren. Siehe hierzu auch Kapitel FWCONFIG



#!/bin/sh

#

#  Es sollte /etc/rc.d/rc.firewall genannt werden.

#  Gestartet wird es von /etc/sysconfig/network-Skripts/ifdhcpc-done.



echo "Starte Firewall... "



# Einige Definitionen von Variablen, any/0 bedeutet nichts anderes, als 

# 0.0.0.0/0. Dies ist per Definition jede IP - Nummer



ANYWHERE="any/0"



# Nun müssen die Interfaces und IP - Nummern alle zugewiesen werden. 



EXTERNES_INTERFACE="eth0"

LOKALES_INTERFACE="eth1"

INTRANET="10.0.0.0/24"          #Class-C Netzwerk



DHCP_SERVER="dhcp.intra.net/16"

SMTP_SERVER="smtp.intra.net"    

POP_SERVER="pop.intra.net"      

NEWS_SERVER="news.intra.net"

WEB_PROXY_SERVER="www.intra.net"

#  Die IP Adresse, $IPADDR, wird von DHCP vergeben



if [ -f /etc/dhcpc/hostinfo-$EXTERNES_INTERFACE ]; then

    . /etc/dhcpc/hostinfo-$EXTERNES_INTERFACE

elif [ -f /etc/dhcpc/dhcpcd-$EXTERNES_INTERFACE.info ]; then

    . /etc/dhcpc/dhcpcd-$EXTERNES_INTERFACE.info

else

    echo "rc.firewall:  dhcp is not configured." 

    exit 1

fi



# nameservers are originally from /etc/dhcpc/resolv.conf.

# The example ifdhcpc-done Skript updates these automatically and

# appends them to /etc/dhcpc/hostinfo-$EXTERNES_INTERFACE or

# /etc/dhcpc/dhcpcd-$EXTERNES_INTERFACE.info.



# Edit and uncomment these if NOT using the example ifdhcpc-done Skript.



NAMESERVER_1="ns1.domain.de"

NAMESERVER_2="ns2.domain.de"

NAMESERVER_3="ns3.domain.de"



# ----------------------------------------------------------------------------



LOOPBACK_INTERFACE="lo"

LOOPBACK="127.0.0.0/8"

INTRANET="10.0.0.0/8"

PRIVPORTS="0:1023"

UNPRIVPORTS="1024:65535"

VERBOTEN_PORTS="2049"                   # (TCP/UDP) NFS

VERBOTEN_OPENWINDOWS="2000"             # (TCP) openwindows

VERBOTEN_XWINDOWS="6000:6001"           # (TCP) X windows

SSH_PORTS="1020:1023"                   # range for SSH privileged ports

# Lösche alle Filter

    ipfwadm -I -f

    ipfwadm -O -f

    ipfwadm -F -f

# Default policy is DENY

    ipfwadm -I -p deny

    ipfwadm -O -p deny

    ipfwadm -F -p deny



# Anti spoofing Regeln

    ipfwadm -I -a deny -o -W $EXTERNES_INTERFACE -S $IPADDR

    ipfwadm -O -a reject -o -W $EXTERNES_INTERFACE -D $IPADDR



# Keine Adressen aus dem Intranet dürfen in das Externe Interface

    ipfwadm -I -a deny    -W $EXTERNES_INTERFACE -S $INTRANET

    ipfwadm -I -a deny    -W $EXTERNES_INTERFACE -D $INTRANET

    ipfwadm -O -a reject    -W $EXTERNES_INTERFACE -S $INTRANET

    ipfwadm -O -a reject    -W $EXTERNES_INTERFACE -D $INTRANET



# Keine Adressen aus dem Intranet dürfen in das LOOPBACK Interface

    ipfwadm -I -a deny -o -W $EXTERNES_INTERFACE -S $LOOPBACK

    ipfwadm -I -a deny -o -W $EXTERNES_INTERFACE -D $LOOPBACK

    ipfwadm -O -a reject -o -W $EXTERNES_INTERFACE -S $LOOPBACK

    ipfwadm -O -a reject -o -W $EXTERNES_INTERFACE -D $LOOPBACK



# Keine Broadcasts

    ipfwadm -I -a deny    -W $EXTERNES_INTERFACE -S $BROADCAST_1

    ipfwadm -I -a deny    -W $EXTERNES_INTERFACE -D $BROADCAST_0



# Keine Multicast-Adressen !

    ipfwadm -I -a deny -o -W $EXTERNES_INTERFACE -S $MULTICAST



# ICMP Codes

#  0: Echo_Reply

#  3: Dest_Unreachable, Network_Unavailable, Service_Unavailable, etc.

#  4: Source_Quench

#  5: Redirect

#  8: Echo_Request

# 11: Time_Exceeded

# 12: Parameter_Problem

    

     ipfwadm -I -a accept -P icmp -W $EXTERNES_INTERFACE \

             -S $ANYWHERE 0 3 4 11 12 -D $IPADDR



     ipfwadm -I -a accept -P icmp -W $EXTERNES_INTERFACE \

             -S $DHCP_SERVERS 8 -D $IPADDR



     ipfwadm -O -a accept -P icmp -W $EXTERNES_INTERFACE \

             -S $IPADDR 3 4 8 12  -D $ANYWHERE



     ipfwadm -O -a accept -P icmp -W $EXTERNES_INTERFACE \

             -S $IPADDR  0 11 -D $DHCP_SERVERS



# Keine SUN RPC Pakete



    ipfwadm -O -a reject -P tcp -W $EXTERNES_INTERFACE \

            -S $IPADDR \

            -D $ANYWHERE 0 87 111 512 513 514 515 540



    ipfwadm -O -a reject -P tcp -W $EXTERNES_INTERFACE \

            -S $IPADDR 0 87 111 512 513 514 515 540 \

            -D $ANYWHERE 



# Kein Openwindows

    ipfwadm -O -a reject -P tcp -y -W $EXTERNES_INTERFACE \

            -S $IPADDR \

            -D $ANYWHERE $VERBOTEN_OPENWINDOWS 

# Kein X-Windows

    ipfwadm -O -a reject -P tcp -y -W $EXTERNES_INTERFACE \

            -S $IPADDR \

            -D $ANYWHERE $VERBOTEN_XWINDOWS 



# SOCKS ist erlaubt, hierzu muß SOCKS installiert sein

    ipfwadm -O -a reject -P tcp -y -W $EXTERNES_INTERFACE \

            -S $IPADDR \

            -D $ANYWHERE 1080



# Kein dhcp tftp sunrpc snmp snmp-trap ins Internet 

    ipfwadm -O -a reject -P udp -W $EXTERNES_INTERFACE \

            -S $IPADDR \

            -D $ANYWHERE 0 68 69 111 161 162 



# Kein biff (Mail) ins Internet

    ipfwadm -O -a reject -P udp -W $EXTERNES_INTERFACE \

            -S $IPADDR \

            -D $ANYWHERE 512 513 514 520 521 



# Kein dhcp tftp sunrpc snmp snmp-trap 

    ipfwadm -O -a reject -P udp -W $EXTERNES_INTERFACE \

            -S $IPADDR 0 67 69 111 161 162 \

            -D $ANYWHERE 



# Kein  biff 

    ipfwadm -O -a reject -P udp -W $EXTERNES_INTERFACE \

            -S $IPADDR \

            -D $ANYWHERE 512 513 514 520 521



# Zugriff für alle Intranet Hosts

    ipfwadm -I -a accept -W $LOKALES_INTERFACE -S $INTRANET

    ipfwadm -O -a accept -W $LOKALES_INTERFACE -D $INTRANET



# Loopback für die Dämonen

    ipfwadm -I -a accept -W $LOOPBACK_INTERFACE

    ipfwadm -O -a accept -W $LOOPBACK_INTERFACE



# Kein Zugriff auf Ports im Bereich von X, OpenWindows, NFS...

    ipfwadm -I -a deny -o -P tcp -y -W $EXTERNES_INTERFACE \

            -D $IPADDR $VERBOTEN_PORTS 



    ipfwadm -I -a deny -o -P tcp -y -W $EXTERNES_INTERFACE \

            -D $IPADDR $VERBOTEN_OPENWINDOWS 



    ipfwadm -I -a deny -o -P tcp -y -W $EXTERNES_INTERFACE \

            -D $IPADDR $VERBOTEN_XWINDOWS 



# Kein SOCKS aus dem Internet

    ipfwadm -I -a deny -P tcp -y -W $EXTERNES_INTERFACE \

            -S $ANYWHERE \

            -D $IPADDR 1080

# Kein UDP auf verbotene Ports

    ipfwadm -I -a deny -o -P udp -W $EXTERNES_INTERFACE \

            -D $IPADDR $VERBOTEN_PORTS 



# traceroute benutzt -S 32769:65535 -D 33434:33523

# Verbiete Traceroute



    ipfwadm -I -a accept -o -P udp -W $EXTERNES_INTERFACE \

            -S 24.128.0.0/16 32769:65535 \

            -D $IPADDR 33434:33523



    ipfwadm -I -a deny -o -P udp -W $EXTERNES_INTERFACE \

            -S $ANYWHERE 32769:65535 \

            -D $IPADDR 33434:33523



# Hier sollte man die Ports nur freigeben, wenn man Zugriff auf den 

# Bastion Host zulassen möchte, DNS Server

#

#     ipfwadm -I -a accept -P udp    -W $EXTERNES_INTERFACE \

#             -S $NAMESERVER_1 53 \

#             -D $IPADDR 53



#     ipfwadm -O -a accept -W $EXTERNES_INTERFACE \

#             -S $IPADDR 53 \

#             -D $NAMESERVER_1 53



#     ipfwadm -I -a accept -P udp    -W $EXTERNES_INTERFACE \

#             -S $NAMESERVER_2 53 \

#             -D $IPADDR 53



#     ipfwadm -O -a accept -W $EXTERNES_INTERFACE \

#             -S $IPADDR 53 \

#             -D $NAMESERVER_2 53



#     ipfwadm -I -a accept -P udp    -W $EXTERNES_INTERFACE \

#             -S $NAMESERVER_3 53 \

#             -D $IPADDR 53



#     ipfwadm -O -a accept -W $EXTERNES_INTERFACE \

#             -S $IPADDR 53 \

#             -D $NAMESERVER_3 53

#

# DNS Client ist ok !



     ipfwadm -I -a accept -P udp    -W $EXTERNES_INTERFACE \

             -S $NAMESERVER_1 53 \

             -D $IPADDR $UNPRIVPORTS



     ipfwadm -O -a accept -P udp    -W $EXTERNES_INTERFACE \

             -S $IPADDR $UNPRIVPORTS \

             -D $NAMESERVER_1 53 



     ipfwadm -I -a accept -P tcp -k    -W $EXTERNES_INTERFACE \

             -S $NAMESERVER_1 53 \

             -D $IPADDR $UNPRIVPORTS



     ipfwadm -O -a accept -P tcp -W $EXTERNES_INTERFACE \

             -S $IPADDR $UNPRIVPORTS \

             -D $NAMESERVER_1 53 



     ipfwadm -I -a accept -P udp    -W $EXTERNES_INTERFACE \

             -S $NAMESERVER_2 53 \

             -D $IPADDR $UNPRIVPORTS



     ipfwadm -O -a accept -P udp    -W $EXTERNES_INTERFACE \

             -S $IPADDR $UNPRIVPORTS \

             -D $NAMESERVER_2 53 



     ipfwadm -I -a accept -P tcp -k    -W $EXTERNES_INTERFACE \

             -S $NAMESERVER_2 53 \

             -D $IPADDR $UNPRIVPORTS



     ipfwadm -O -a accept -P tcp -W $EXTERNES_INTERFACE \

             -S $IPADDR $UNPRIVPORTS \

             -D $NAMESERVER_2 53 



     ipfwadm -I -a accept -P udp    -W $EXTERNES_INTERFACE \

             -S $NAMESERVER_3 53 \

             -D $IPADDR $UNPRIVPORTS



     ipfwadm -O -a accept -P udp    -W $EXTERNES_INTERFACE \

             -S $IPADDR $UNPRIVPORTS \

             -D $NAMESERVER_3 53 



     ipfwadm -I -a accept -P tcp -k    -W $EXTERNES_INTERFACE \

             -S $NAMESERVER_3 53 \

             -D $IPADDR $UNPRIVPORTS



     ipfwadm -O -a accept -P tcp -W $EXTERNES_INTERFACE \

             -S $IPADDR $UNPRIVPORTS \

             -D $NAMESERVER_3 53 



# SSH server (22)

#    ipfwadm -I -a accept -P tcp    -W $EXTERNES_INTERFACE \

#            -S $ANYWHERE $UNPRIVPORTS -D $IPADDR 22

#    ipfwadm -I -a accept -P tcp    -W $EXTERNES_INTERFACE \

#            -S $ANYWHERE $SSH_PORTS -D $IPADDR 22

# SSH client (22)

#    ipfwadm -I -a accept -P tcp -k    -W $EXTERNES_INTERFACE \

#            -S $ANYWHERE 22 -D $IPADDR $UNPRIVPORTS

#    ipfwadm -I -a accept -P tcp -k    -W $EXTERNES_INTERFACE \

#            -S $ANYWHERE 22 -D $IPADDR $SSH_PORTS

# TELNET server (23)

#    ipfwadm -I -a accept -P tcp    -W $EXTERNES_INTERFACE \

#            -S $ANYWHERE $UNPRIVPORTS -D $IPADDR 23

# TELNET client (23)

#    ipfwadm -I -a accept -P tcp -k    -W $EXTERNES_INTERFACE \

#            -S $ANYWHERE 23 -D $IPADDR $UNPRIVPORTS

# HTTP server (80)

#    ipfwadm -I -a accept -P tcp    -W $EXTERNES_INTERFACE \

#            -S $ANYWHERE $UNPRIVPORTS -D $IPADDR 80

# HTTP client (80)

    ipfwadm -I -a accept -P tcp -k    -W $EXTERNES_INTERFACE \

            -S $ANYWHERE 80 \

            -D $IPADDR $UNPRIVPORTS

# HTTPS client (443)

    ipfwadm -I -a accept -P tcp -k    -W $EXTERNES_INTERFACE \

            -S $ANYWHERE 443 \

            -D $IPADDR $UNPRIVPORTS

# WWW-CACHE client (typical ports are 8000 or 8080)

#    ipfwadm -I -a accept -P tcp -k    -W $EXTERNES_INTERFACE \

#            -S $WEB_PROXY_SERVER \

#            -D $IPADDR $UNPRIVPORTS

# POP client (110)

    ipfwadm -I -a accept -P tcp -k    -W $EXTERNES_INTERFACE \

            -S $POP_SERVER 110 \

            -D $IPADDR $UNPRIVPORTS

# NNTP NEWS client (119)

    ipfwadm -I -a accept -P tcp -k    -W $EXTERNES_INTERFACE \

            -S $NEWS_SERVER 119 \

            -D $IPADDR $UNPRIVPORTS

# FINGER client (79)

    ipfwadm -I -a accept -P tcp -k    -W $EXTERNES_INTERFACE \

            -S $ANYWHERE 79 \

            -D $IPADDR $UNPRIVPORTS

# AUTH server (113)

    ipfwadm -I -a reject -P tcp    -W $EXTERNES_INTERFACE \

            -S $ANYWHERE -D $IPADDR 113

# AUTH client (113)

    ipfwadm -I -a accept -P tcp -k    -W $EXTERNES_INTERFACE \

            -S $ANYWHERE 113 -D $IPADDR $UNPRIVPORTS

# SMTP server (25)

#    ipfwadm -I -a accept -P tcp    -W $EXTERNES_INTERFACE \

#            -S $ANYWHERE $UNPRIVPORTS \

#            -D $IPADDR 25

# SMTP client (25)

    ipfwadm -I -a accept -P tcp -k    -W $EXTERNES_INTERFACE \

            -S $SMTP_SERVER 25 \

            -D $IPADDR $UNPRIVPORTS

# ------------------------------------------------------------------

# IRC client (6667)

#    ipfwadm -I -a accept -P tcp -k    -W $EXTERNES_INTERFACE \

#            -S $ANYWHERE 6667 \

#            -D $IPADDR $UNPRIVPORTS

# RealAudio client

#    ipfwadm -I -a accept -P tcp  -k -W $EXTERNES_INTERFACE \

#            -S $ANYWHERE $UNPRIVPORTS \

#            -D $IPADDR 554 7070 7071

# UDP is the preferred method

#    ipfwadm -I -a accept -P udp -W $EXTERNES_INTERFACE \

#            -S $ANYWHERE $UNPRIVPORTS \

#            -D $IPADDR 6970:7170

# FTP server (20, 21)

    ipfwadm -I -a accept -P tcp  -W $EXTERNES_INTERFACE \

            -S $ANYWHERE $UNPRIVPORTS \

            -D $IPADDR 21

# PORT MODE Antworten für Daten

    ipfwadm -I -a accept -P tcp -k  -W $EXTERNES_INTERFACE \

            -S $ANYWHERE $UNPRIVPORTS \

            -D $IPADDR 20

# PASSIVE MODE Antworten für Daten

    ipfwadm -I -a accept -P tcp  -W $EXTERNES_INTERFACE \

            -S $ANYWHERE $UNPRIVPORTS \

            -D $IPADDR $UNPRIVPORTS

# FTP client (20, 21)

    ipfwadm -I -a accept -P tcp -k    -W $EXTERNES_INTERFACE \

            -S $ANYWHERE 21 \

            -D $IPADDR $UNPRIVPORTS



    ipfwadm -I -a accept -P tcp    -W $EXTERNES_INTERFACE \

            -S $ANYWHERE 20 \

            -D $IPADDR $UNPRIVPORTS

# PASV-FTP

    ipfwadm -I -a accept -P tcp -k    -W $EXTERNES_INTERFACE \

            -S $ANYWHERE $UNPRIVPORTS \

            -D $IPADDR $UNPRIVPORTS

# WHOIS client (43)

    ipfwadm -I -a accept -P tcp -k    -W $EXTERNES_INTERFACE \

            -S $ANYWHERE 43 \

            -D $IPADDR $UNPRIVPORTS



# UDP  für DHCP Clients

    ipfwadm -I -a accept -P udp    -W $EXTERNES_INTERFACE \

            -S $DHCP_SERVERS 67 \

            -D $IPADDR 68



    ipfwadm -I -a accept -P udp    -W $EXTERNES_INTERFACE \

            -S $DHCP_SERVERS 67 \

            -D $BROADCAST_1 68



    ipfwadm -O -a accept -P udp -o -W $EXTERNES_INTERFACE \

            -S $BROADCAST_0 68 \

            -D $DHCP_SERVERS 67



# DHCP IP-Vergabe

    ipfwadm -I -a accept -P udp    -W $EXTERNES_INTERFACE \

            -S $BROADCAST_0 67 \

            -D $BROADCAST_1 68



# REBINDING bei DHCP

    ipfwadm -O -a accept -P udp -W $EXTERNES_INTERFACE \

            -S $BROADCAST_0 68 \

            -D $BROADCAST_1 67



    ipfwadm -I -a accept -P udp    -W $EXTERNES_INTERFACE \

            -S $DHCP_SERVERS 67 \

            -D $ANYWHERE 68



    ipfwadm -I -a deny -P udp    -W $EXTERNES_INTERFACE \

            -S $ANYWHERE 67 \

            -D $IPADDR 68

# NTP TIME clients (123)

#   ipfwadm -I -a accept -P udp -W $EXTERNES_INTERFACE \

#           -S dominator.eecs.harvard.edu 123 \

#           -D $IPADDR $UNPRIVPORTS



# Logging explizit für:



    ipfwadm -I -a deny -o -P tcp -W $EXTERNES_INTERFACE -D $IPADDR 

    ipfwadm -I -a deny -o -P udp -W $EXTERNES_INTERFACE -D $IPADDR $PRIVPORTS



    ipfwadm -O -a deny -o -P icmp -W $EXTERNES_INTERFACE -S $IPADDR 5 

    ipfwadm -I -a deny -o -P icmp -W $EXTERNES_INTERFACE \

            -S $ANYWHERE 5 13 14 15 16 17 18 -D $IPADDR



# Erlaube anderen Verkehr ins Internet



     ipfwadm -O -a accept -W $EXTERNES_INTERFACE -S $IPADDR



# Masquerade aktivieren



    ipfwadm -F -a masquerade -W $EXTERNES_INTERFACE -S $INTRANET



echo "Firewall aktiv"
Online Suche im Handbuch
LITTLE-IDIOT NETWORKING