Iptables na inicialização [RESOLVIDO]

tcosta
(usa Ubuntu)

Enviado em 07/02/2013 - 15:36h

Boa tarde pessoal,

Estou tentando atualizar meu rc.d através do comando: update-rc.d firewall-up.sh defaults e ele está retornando uma mensagem: INSSERVER WARNING: SCRIPT 'firewall-up.sh' MISSING LSB TAGS AND OVERRIDES

Alguem poderia me dar uma força?

Segue o .sh:


#!/bin/bash
# Script: IPTABLES

#=======================================================================================================================
# Carregar modulo iptable e NAT no Kernel

modprobe ip_nat_ftp
modprobe iptable_nat

#=======================================================================================================================
# Declarando as Variaveis

INTRA=eth1
INTER=eth0
LAN=192.168.254.0/24

#=======================================================================================================================
# Limpando Regras

iptables -F
iptables -t nat -F
iptables -X
iptables -Z

#=======================================================================================================================
# Barrando as entradas | Liberando as saidas

iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT ACCEPT

#=======================================================================================================================
# Regras

iptables -A INPUT -p tcp -s $LAN --dport 3128 -j ACCEPT # Squid na porta 3128
iptables -t nat -A PREROUTING -i eth1 -p tcp --dport 80 -j REDIRECT --to-port 3128 # Redirecionando http/tcp para o Squid
iptables -t nat -A PREROUTING -i eth1 -p udp --dport 80 -j REDIRECT --to-port 3128 # Redirecionando http/udp para o Squid
iptables -t nat -A PREROUTING -i eth1 -p tcp --dport 443 -j REDIRECT --to-port 3128 # Redirecionando https para o Squid
iptables -t nat -A PREROUTING -i eth1 -p tcp --dport 41443 -j REDIRECT --to-port 3128 # Redirecionamento SPAM FIEMG
iptables -A INPUT -i lo -j ACCEPT # Liberar Loopback
iptables -A INPUT -p tcp --dport 22 -j ACCEPT # Aceitar conexoes ssh
iptables -A INPUT -p tcp -s $LAN --dport 53 -j ACCEPT # Resolucao de Nomes
iptables -A INPUT -p udp -s $LAN --dport 53 -j ACCEPT # Resolucao de Nomes
iptables -A FORWARD -i $INTRA -p tcp --dport 21 -j ACCEPT # FTP
iptables -A FORWARD -i $INTRA -p tcp --dport 25 -j ACCEPT # SMTP
iptables -A FORWARD -i $INTRA -p tcp --dport 110 -j ACCEPT # POP
iptables -A FORWARD -i $INTRA -p udp --dport 53 -j ACCEPT # DNS
iptables -A FORWARD -i $INTRA -p tcp --dport 53 -j ACCEPT # DNS
iptables -t nat -A POSTROUTING -o $INTER -j MASQUERADE # Mascaramento da Rede Local
iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT # Statefull inspection
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT # Statefull inspection

#=======================================================================================================================
# Impedindo Ataques

iptables -A INPUT -p tcp --dport 31337 -j DROP # Back Orifice
iptables -A INPUT -p udp --dport 31337 -j DROP # Back Orifice
iptables -A INPUT -p tcp --dport 12345:12346 -j DROP # NetBus
iptables -A INPUT -p udp --dport 12345:12346 -j DROP # NetBus
iptables -A FORWARD -p icmp --icmp-type echo-request -m limit --limit 1/s -j ACCEPT # Ping of the Death
iptables -A FORWARD -p tcp --tcp-flags SYN,ACK,FIN,RST RST -m limit --limit 1/s -j ACCEPT # Port Scanners

#=======================================================================================================================

leandro
(usa Arch Linux)

Enviado em 07/02/2013 - 16:06h

É que está faltando o cabeçalho do script (necessário para o update-rc.d identificar a ordem de execução do script). Algo como:

#! /bin/sh

### BEGIN INIT INFO

# Provides:          iptables

# Required-Start:    $remote_fs dbus udev network-manager

# Required-Stop:     $remote_fs dbus udev network-manager

# Default-Start:     2 3 4 5

# Default-Stop:      0 1 6

# Description: Firewall iptables

### END INIT INFO

 

Antes da parte de comandos.

Leia mais aqui:
http://www.vivaolinux.com.br/dica/LSBInitScripts-no-Debian-missing-LSB-tags-and-overrides

Boa sorte!

tcosta
(usa Ubuntu)

Enviado em 07/02/2013 - 16:49h

Obrigado Leandro.
Vou tentar aqui e posto o resultado..

phoemur
(usa Debian)

Enviado em 08/02/2013 - 23:05h

"Impedindo ataques"

Acho que você deveria se preocupar com outras coisas ao invés de NetBus e BackOrifice kkkk

tcosta
(usa Ubuntu)

Enviado em 09/02/2013 - 08:23h

E aí phoemur..

O Firewall está em construção, e aos poucos, vou pesquisando e encontrando novas regras que me ajudam a evitar algum tipo de invasão..
Inclusive ja está com novas regras contra ataques mais atuais, mas nao acabou.. Ainda estou pesquisando e complementando-o..

Se não puder ajudar cara..
Eu não pedi opinião sobre as regras que constam no .sh..

phoemur
(usa Debian)

Enviado em 09/02/2013 - 16:46h

Pelo tom da sua resposta percebi que você não gostou do meu comentário. Desculpa, só quis descontrair um pouco.
Vou deixar aqui uma dica que acho que vai te ajudar bastante:

http://www.slackware.com/~alien/efg/

É o Easy Firewall Generator do Alien Bob que é contribuidor do Slackware. Ele cria um script de firewall razoavelmente completo com iptables. Só de ler o script você já vai aprender bastante.
Você pode editar ao seu gosto. The Slackware way...
abraços.

tcosta
(usa Ubuntu)

Enviado em 09/02/2013 - 17:46h

Obrigado cara,
Muito interessante..
Não conhecia essa ferramenta..
Vivendo e Aprendendo..

rcjeferson
(usa Debian)

Enviado em 13/02/2013 - 23:56h

Boa noite amigo.

Não sei se é exatamente o que quer, mas para que inicialize o meu script de firewall eu adicionei a seguinte linha ao arquivo /etc/rc.local

/etc/firewall.sh

E em todas as inicializações carrega o script de boa! :D

tcosta
(usa Ubuntu)

Enviado em 14/02/2013 - 11:16h

Bom dia Amigão,

Deu certo cara..
Coloquei no rc.local e funcionou do jeito que eu queria..
Valeu demais..
Vivendo e Aprendendo..
Abração..

tcosta
(usa Ubuntu)

Enviado em 14/02/2013 - 12:59h

Obrigado Leandro.
Essa do cabeçalho tambem me ajudou bastante..

tcosta
(usa Ubuntu)

Enviado em 29/04/2013 - 11:25h

Bom dia pessoal,

Para inicializar automaticamente o script, o caminho do mesmo deve ser informado em rc.local em /etc/init.d.

por exemplo:

. /etc.init.d/firewall-up.sh