IPTABLES - un exemple de script firewall de base

ce bout de script iptables, permet de faire un SNAT, et laisse sortir du trafic http (port 80) et dns (53) en sortie vers internet et en entrée

Les deux dernières règles permettent de voir ce qui ne va pas en allant voir le syslog avec tail -f /var/log/syslog


#!/bin/bash
echo 1 > /proc/sys/net/ipv4/ip_forward

DMZ=10.0.0.0/24
IPT='/sbin/iptables'

$IPT -F
$IPT -F -t nat

$IPT -P INPUT DROP

$IPT -P FORWARD DROP

# accept localhost internal trafic
$IPT -A INPUT -i lo -s localhost -j ACCEPT

#$IPT -P INPUT ACCEPT
#$IPT -P FORWARD ACCEPT

# accept ssh from dmz
$IPT -A INPUT -s $DMZ -i eth1 -p tcp --dport 22 -j ACCEPT

$IPT -A FORWARD -s $DMZ -i eth1 -p udp --dport 53 -j ACCEPT
$IPT -A FORWARD -d $DMZ -i eth0 -p udp --sport 53 -j ACCEPT
$IPT -A FORWARD -s $DMZ -i eth1 -p tcp --dport 80 -j ACCEPT
$IPT -A FORWARD -d $DMZ -i eth0 -p tcp --sport 80 -j ACCEPT

#allow all trafic for our network to go the internet
$IPT -t nat -A POSTROUTING -s $DMZ -j MASQUERADE

$IPT -A INPUT -j LOG --log-prefix "##DROPPED INPUT -- "
$IPT -A FORWARD -j LOG --log-prefix "##DROPPED FORWARD -- "