Forum Debian Users Gang

#!/bin/sh

#ścieżka do iptables
#najlepiej sprawdzić komenda:
#whereis iptables
#
IPT=/sbin/iptables

#kasujemy wszytskie reguły
$IPT -F

#ustawiamy domyślną politykę
$IPT -P INPUT ACCEPT
$IPT -P OUTPUT ACCEPT
$IPT -P FORWARD ACCEPT

#regula pierwsza
#Ograniczyć maksymalną wielkość pakietu ICMP-echo do 1kB
echo "Reguła pierwsza."
$IPT -A INPUT -p icmp --icmp-type echo-request -m length --length 1000: -j DROP

#reguła druga
#Ograniczyć do 2 na minutę liczbę pakietów ICMP-echo
echo "Reguła druga."
$IPT -A INPUT -p icmp --icmp-type echo-request -m limit --limit 2/min -j ACCEPT

#reguła trzecia
#Ograniczyć żądania http do 1kB wielkości i do 5 na minutę
echo "reguła trzecia."
$IPT -A INPUT -p tcp --dport 80 -m length --length :1000 -m limit --limit 5/min -j ACCEPT

#reguła czwarta
#Logować pakiety, które naruszają regułę numer 4, ale ich nie usuwać
#tego nie kapuje
echo "regula czwarta."

#reguła piąta
#Zmienić wartość pola TTL dla każdego pakietu na 56
echo "reguła piąta."
$IPT -t mangle -A PREROUTING -j TTL --ttl-set 56

#regula szósta
#Odrzucić pakiety większe niż 4 kB zwracając komunikat błędy ICMP-net-unreachable
echo "reguła szósta."
$IPT -A INPUT -m length --length 4000: -j REJECT --reject-with icmp-net-unreachable

#reguła siódma
#Zablokuj wychodzące połączenia SMTP
echo "reguła siódma."
$IPT -A OUTPUT -p tcp --dport smtp -j DROP

#reguła ósma
#Wykorzystać moduł comment w celu opisania reguł zapory sieciowej
#odchaszować tylko podczas sprawdzania:
echo "regułą ósma."
$IPT -A INPUT -p icmp --icmp-type echo-request -m length --length 1000: -j DROP -m comment --comment "regula pierwsza."
$IPT -A INPUT -p icmp --icmp-type echo-request -m limit --limit 2/min -j ACCEPT -m comment --comment "regula druga."
$IPT -A INPUT -p tcp --dport 80 -m length --length :1000 -m limit --limit 5/min -j ACCEPT -m comment --comment "regula trzecia."
#błąd: Can't specyfity TTL option  twice
#$IPT -t mangle -A PREROUTING -j TTL --ttl-set 56 -m comment --comment "regula piata."
$IPT -A INPUT -m length --length 4000: -j REJECT --reject-with icmp-net-unreachable -m comment --comment "regula szosta."
$IPT -A OUTPUT -p tcp --dport smtp -j DROP -m comment --comment "regula siodma."

#reguła dziewiąta
#Wykorzystać moduł pkttype w celu zablokowania pakietów ICMP-echo wysyłanych na adres rozgłoszeniowy. Wcześniej należy zdjąć blokadę jądra systemu:
echo "reguła dziewiąta."
echo 0 > /proc/sys/net/ipv4/icmp_echo_ignore_broadcasts
$IPT -A INPUT -p icmp --icmp-type echo-request -m pkttype --pkt-type broadcast -j DROP