• Willkommen im Linux Club - dem deutschsprachigen Supportforum für GNU/Linux. Registriere dich kostenlos, um alle Inhalte zu sehen und Fragen zu stellen.

brauche mal Hilfe bei Firewall

Burner

Burner

Member
Habe mir die Firewall von gaw genommen und an meine Situation angepasst.

Code: 
#!/bin/bash
#############  Firewallskript für einen Linux Router
# copyright (c) gaw
# Autor: gaw
# Oktober 2004

############# Initialisierung der Variablen


echo "folgende Regeln werden gesetzt"

############# Interfaces
INTERFACE_EXT="dsl0"
INTERFACE_INT="eth1"
INTERFACE_WLA="eth2"   
INTERFACES="$INTERFACE_EXT $INTERFACE_INT $INTERFACE_WLA"
ROUTER_IP="192.168.100.0"
#$FTP_SERVER_IP="192.168.1.100"
LOCAL_NET_IP="192.168.17.0/24"
LOCAL_WLA_IP="192.168.2.0/24"

############# Portnummern
PORTS_HIGH="1024:65535"

############# Programm
IPTABLES="/usr/sbin/iptables"



############# Grundkonfiguration

############# Vorläufiges Ausschalten des IP Forwarding.
echo "0" > /proc/sys/net/ipv4/ip_forward

############# TCP-Syncookies, Abwehrmaßnahme gegen das SYN Flooding.
echo "1" > /proc/sys/net/ipv4/tcp_syncookies

############# Ignorieren von Echoauforderungen von icmp
############# Abwehrmaßnahme gegen Broadcast-Stürme
echo "1" > /proc/sys/net/ipv4/icmp_echo_ignore_broadcasts

############# Das Loggen ungültiger ICMP-Pakete wird ausgeschaltet,
echo "1" > /proc/sys/net/ipv4/icmp_ignore_bogus_error_responses

############# Schleife für alle Schnittstellen in $INTERFACES
for if in $INTERFACES;
do

        ##### IP-Spoof Protection
        echo "1" > /proc/sys/net/ipv4/conf/$if/rp_filter

        ##### Keine Redirections
        echo "0" > /proc/sys/net/ipv4/conf/$if/accept_redirects

        ##### Kein Source-Routing
        echo "0" > /proc/sys/net/ipv4/conf/$if/accept_source_route

        ##### Kein Bootstrap Protokoll
        echo "0" > /proc/sys/net/ipv4/conf/$if/bootp_relay

        ##### Ungültige IP-Pakete werden geloggt.
        echo "1" > /proc/sys/net/ipv4/conf/$if/log_martians
done
echo "Dynamische Kernelparameter gesetzt"

############ Alle Pakete der Grundeinstellung werden verworfen

$IPTABLES -P INPUT DROP
$IPTABLES -P FORWARD DROP
$IPTABLES -P OUTPUT DROP

############ Alle eventuell noch vorhandenen Regeln werden gelöscht

############ Lösche alle Regeln aus der Filter Tabelle
$IPTABLES -F

############ Lösche alle Regeln aus der NAT Tabelle
$IPTABLES -t nat -F

############ Lösche alle selbstdefinierten Regeln
$IPTABLES -X

echo "Alles verboten und alle Regeln gelöscht"

############ Selbstdefinierte Regelkette zum Loggen wird erstellt

$IPTABLES -N TRASH

# Hier folgen Regeln für Pakete die nicht geloggt werden sollen als
# Schutz gegen ein Überquellen der Logdateien
$IPTABLES -A TRASH -p UDP --dport 123 -j DROP
# IPP-Anfragen zur Druckereinstellungen müssen nicht geloggt werden
#$IPTABLES -A TRASH -p UDP -s 192.168.0.1 --dport 631 -j DROP
#IPTABLES -A TRASH -p UDP --dport $NETBIOS_PORTS -j DROP
#IPTABLES -A TRASH -p TCP --dport $NETBIOS_PORTS -j DROP
$IPTABLES -A TRASH -p TCP --dport 445 -j DROP
$IPTABLES -A TRASH -p TCP --dport 135 -j DROP

# Diese Pakete sollen geloggt werden
$IPTABLES -A TRASH -p ICMP -j LOG --log-prefix "Abgelehnte-ICMP-Pakete "
$IPTABLES -A TRASH -p UDP  -j LOG --log-prefix "Abgelehnte-UDP-Pakete "
$IPTABLES -A TRASH -p TCP  -j LOG --log-prefix "Abgelehnte-TCP-Pakete "
$IPTABLES -A TRASH -j DROP

echo "Loggin eingeschaltet"


############ Bis hier ist alles verboten. Nun werden bestimmte
############ Pakete wieder akzeptiert

############ Lokale Prozesse auf dem Rechner akzeptieren ###############
$IPTABLES -A OUTPUT -o lo -j ACCEPT
$IPTABLES -A INPUT  -i lo -j ACCEPT

echo "Lokale Prozesse erlaubt"
############ SSH Verbindungen vom internen Netz erlauben

$IPTABLES -A INPUT -i $INTERFACE_INT -s $LOCAL_NET -d $ROUTER_IP \
          -p TCP --sport $PORTS_HIGH --dport ssh \
          -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT


$IPTABLES -A OUTPUT -o $INTERFACE_INT -s $ROUTER_IP -d $LOCAL_NET \
          -p TCP --dport $PORTS_HIGH --sport ssh \
          -m state --state ESTABLISHED,RELATED -j ACCEPT

echo "ssh vom LAN auf den Router erlaubt"

########### SSH Absichern

$IPTABLES -A INPUT -p tcp --dport 22 -m state --state NEW -m recent --set --name SSH -j ACCEPT
$IPTABLES -A INPUT -p tcp --dport 22 -m recent --update --seconds 60 --hitcount 4 --rttl --name SSH -j LOG --log-prefix "SSH_brute_force"
$IPTABLES -A INPUT -p tcp --dport 22 -m recent --update --seconds 120 --hitcount 4 --rttl --name SSH -j DROP

########### Masquarading einschalten


$IPTABLES -t nat -A POSTROUTING -o $INTERFACE_EXT -j MASQUERADE

########### IP-Forwarding und DNAT einschalten
echo "1" > /proc/sys/net/ipv4/ip_forward
echo "1" > /proc/sys/net/ipv4/ip_dynaddr

echo "Masquerading eingeschaltet"

########### Web-Anfragen werden auf internen Webserver umgelenkt

#$IPTABLES -A PREROUTING -t nat -p tcp --dport $HTTP_PORT -i ppp0 \
#        -j DNAT --to-destination $WEB_SERVER_IP

#echo "DNAT für Webserver eingeschaltet:"
#echo "http-Anfragen werden nach $WEB_SERVER_IP umgeleitet"

########### WEB-Anfragen zum Weiterleiten werden akzeptiert

#$IPTABLES -A FORWARD -i $INTERFACE_EXT -o $INTERFACE_INT \
#                 -d $WEB_SERVER_IP -m state \
#                  --state NEW,ESTABLISHED,RELATED -p TCP \
#                 --sport $PORTS_HIGH \
#                  --dport ftp -j ACCEPT

# $IPTABLES -A FORWARD -i $INTERFACE_INT -o $INTERFACE_EXT \
#                 -s $WEB_SERVER_IP -m state \
#                  --state ESTABLISHED,RELATED -p TCP \
#                 --sport ftp \
#                  --dport $PORTS_HIGH -j ACCEPT

#echo "WEB-Anfragen aus dem Netz werden akzeptiert"

########### DNS Verbindungen erlauben

$IPTABLES -A FORWARD -i $INTERFACE_INT -o $INTERFACE_EXT \
                   -m state \
                  --state NEW,ESTABLISHED,RELATED -p UDP --sport $PORTS_HIGH \
                  --dport 53 -j ACCEPT


$IPTABLES -A FORWARD -i $INTERFACE_EXT -o $INTERFACE_INT \
                   -m state \
                  --state ESTABLISHED,RELATED  -p UDP --sport 53 \
                  --dport $PORTS_HIGH -j ACCEPT

$IPTABLES -A FORWARD -i $INTERFACE_WLA -o $INTERFACE_EXT \
			-m state \
			--state NEW,ESTABLISHED,RELATED -p UDP --sport $PORTS_HIGH \
			--dport 53 -j ACCEPT

$IPTABLES -A FORWARD -i $INTERFACE_EXT -o $INTERFACE_WLA \
			-m state \
			--state ESTABLISHED,RELATED -p UDP --sport 53 \
			--dport $PORTS_HIGH -j ACCEPT


 echo "DNS  eingeschaltet"

########### smtp Verbindungen erlauben

$IPTABLES -A FORWARD -i $INTERFACE_INT -o $INTERFACE_EXT \
                   -m state \
                  --state NEW,ESTABLISHED,RELATED -p TCP --sport $PORTS_HIGH \
                  --dport smtp -j ACCEPT

$IPTABLES -A FORWARD -i $INTERFACE_EXT -o $INTERFACE_INT \
                   -m state \
                  --state ESTABLISHED,RELATED  -p TCP --sport smtp \
                  --dport $PORTS_HIGH -j ACCEPT

$IPTABLES -A FORWARD -i $INTERFACE_WLA -o $INTERFACE_EXT \
                   -m state \
                  --state NEW,ESTABLISHED,RELATED -p TCP --sport $PORTS_HIGH \
                  --dport smtp -j ACCEPT

$IPTABLES -A FORWARD -i $INTERFACE_EXT -o $INTERFACE_WLA \
                   -m state \
                  --state ESTABLISHED,RELATED  -p TCP --sport smtp \
                  --dport $PORTS_HIGH -j ACCEPT

echo "smtp  eingeschaltet"

########### POP3 Verbindungen erlauben

$IPTABLES -A FORWARD -i $INTERFACE_INT -o $INTERFACE_EXT \
                   -m state \
                  --state NEW,ESTABLISHED,RELATED -p TCP --sport $PORTS_HIGH \
                  --dport 110 -j ACCEPT

$IPTABLES -A FORWARD -i $INTERFACE_EXT -o $INTERFACE_INT \
                   -m state \
                  --state ESTABLISHED,RELATED  -p TCP --sport 110 \
                  --dport $PORTS_HIGH -j ACCEPT

$IPTABLES -A FORWARD -i $INTERFACE_WLA -o $INTERFACE_EXT \
                   -m state \
                  --state NEW,ESTABLISHED,RELATED -p TCP --sport $PORTS_HIGH \
                  --dport 110 -j ACCEPT

$IPTABLES -A FORWARD -i $INTERFACE_EXT -o $INTERFACE_WLA \
                   -m state \
                  --state ESTABLISHED,RELATED  -p TCP --sport 110 \
                  --dport $PORTS_HIGH -j ACCEPT

echo "POP3  eingeschaltet"



########### http -Verbindungen erlauben
#
$IPTABLES -A FORWARD -i $INTERFACE_INT -o $INTERFACE_EXT \
                   -m state \
                  --state NEW,ESTABLISHED,RELATED -p TCP --sport $PORTS_HIGH \
                  --dport http -j ACCEPT

$IPTABLES -A FORWARD -i $INTERFACE_EXT -o $INTERFACE_INT \
                   -m state \
                  --state ESTABLISHED,RELATED  -p TCP --sport http \
                  --dport $PORTS_HIGH -j ACCEPT

$IPTABLES -A FORWARD -i $INTERFACE_WLA -o $INTERFACE_EXT \
                   -m state \
                  --state NEW,ESTABLISHED,RELATED -p TCP --sport $PORTS_HIGH \
                  --dport http -j ACCEPT

$IPTABLES -A FORWARD -i $INTERFACE_EXT -o $INTERFACE_WLA \
                   -m state \
                  --state ESTABLISHED,RELATED  -p TCP --sport http \
                  --dport $PORTS_HIGH -j ACCEPT

echo "http eingeschaltet"

########### https-Verbindungen erlauben

$IPTABLES -A FORWARD -i $INTERFACE_INT -o $INTERFACE_EXT \
                   -m state \
                  --state NEW,ESTABLISHED,RELATED -p TCP --sport $PORTS_HIGH \
                  --dport https -j ACCEPT

$IPTABLES -A FORWARD -i $INTERFACE_EXT -o $INTERFACE_INT \
                   -m state \
                  --state ESTABLISHED,RELATED  -p TCP --sport https \
                  --dport $PORTS_HIGH -j ACCEPT

$IPTABLES -A FORWARD -i $INTERFACE_WLA -o $INTERFACE_EXT \
                   -m state \
                  --state NEW,ESTABLISHED,RELATED -p TCP --sport $PORTS_HIGH \
                  --dport https -j ACCEPT

$IPTABLES -A FORWARD -i $INTERFACE_EXT -o $INTERFACE_WLA \
                   -m state \
                  --state ESTABLISHED,RELATED  -p TCP --sport https \
                  --dport $PORTS_HIGH -j ACCEPT

echo "https eingeschaltet"


########### Filesharing
########### Esel erlauben

$IPTABLES -A FORWARD -i $INTERFACE_INT -o $INTERFACE_EXT \
                   -m state \
                  --state NEW,ESTABLISHED,RELATED -p TCP --sport $PORTS_HIGH \
                  --dport 4661:4665 -j ACCEPT

$IPTABLES -A FORWARD -i $INTERFACE_EXT -o $INTERFACE_INT \
                   -m state \
                  --state ESTABLISHED,RELATED  -p TCP --sport 4661:4665 \
                  --dport $PORTS_HIGH -j ACCEPT

$IPTABLES -A FORWARD -i $INTERFACE_INT -o $INTERFACE_EXT \
                   -m state \
                  --state NEW,ESTABLISHED,RELATED -p UDP --sport $PORTS_HIGH \
                  --dport 4672 -j ACCEPT


$IPTABLES -A FORWARD -i $INTERFACE_EXT -o $INTERFACE_INT \
                   -m state \
                  --state ESTABLISHED,RELATED  -p UDP --sport 4672 \
                  --dport $PORTS_HIGH -j ACCEPT

$IPTABLES -A FORWARD -i $INTERFACE_INT -o $INTERFACE_EXT \
                   -m state \
                  --state NEW,ESTABLISHED,RELATED -p UDP --sport $PORTS_HIGH \
                  --dport 4665 -j ACCEPT


$IPTABLES -A FORWARD -i $INTERFACE_EXT -o $INTERFACE_INT \
                   -m state \
                  --state ESTABLISHED,RELATED  -p UDP --sport 4665 \
                  --dport $PORTS_HIGH -j ACCEPT

########### Bittorent erlauben

$IPTABLES -A FORWARD -i $INTERFACE_INT -o $INTERFACE_EXT \
                   -m state \
                  --state NEW,ESTABLISHED,RELATED -p TCP --sport $PORTS_HIGH \
                  --dport 6881:6889 -j ACCEPT

$IPTABLES -A FORWARD -i $INTERFACE_EXT -o $INTERFACE_INT \
                   -m state \
                  --state ESTABLISHED,RELATED  -p TCP --sport 6881:6889 \
                  --dport $PORTS_HIGH -j ACCEPT

########### WinMX erlauben

$IPTABLES -A  FORWARD -i $INTERFACE_INT -o $INTERFACE_EXT \
	            -m state \
		   --state NEW,ESTABLISHED,RELATED -p TCP --sport $PORTS_HIGH \
		   --dport 6699 -j ACCEPT

$IPTABLES -A FORWARD -i $INTERFACE_EXT -o $INTERFACE_INT \
		   -m state \
		  --state NEW,ESTABLISHED,RELATED -p TCP --sport $PORTS_HIGH \
		  --dport 6699 -j ACCEPT

$IPTABLES -A FORWARD -i $INTERFACE_INT -o $INTERFACE_EXT \
                   -m state \
                  --state NEW,ESTABLISHED,RELATED -p UDP --sport $PORTS_HIGH \
                  --dport 6257 -j ACCEPT

$IPTABLES -A FORWARD -i $INTERFACE_EXT -o $INTERFACE_INT \
                   -m state \
                  --state ESTABLISHED,RELATED -p UDP --sport 6257 \
                  --dport $PORTS_HIGH -j ACCEPT

echo "Filesharing erlaubt"

########### cammunity erlauben

$IPTABLES -A FORWARD -i $INTERFACE_INT -o $INTERFACE_EXT \
                   -m state \
                  --state NEW,ESTABLISHED,RELATED -p TCP --sport $PORTS_HIGH \
                  --dport 8080 -j ACCEPT

$IPTABLES -A FORWARD -i $INTERFACE_EXT -o $INTERFACE_INT \
                   -m state \
                  --state ESTABLISHED,RELATED  -p TCP --sport 8080 \
                  --dport $PORTS_HIGH -j ACCEPT

$IPTABLES -A FORWARD -i $INTERFACE_INT -o $INTERFACE_EXT \
                   -m state \
                  --state NEW,ESTABLISHED,RELATED -p TCP --sport $PORTS_HIGH \
                  --dport 9000:9006 -j ACCEPT

$IPTABLES -A FORWARD -i $INTERFACE_EXT -o $INTERFACE_INT \
                   -m state \
                  --state ESTABLISHED,RELATED  -p TCP --sport 9000:9006 \
                  --dport $PORTS_HIGH -j ACCEPT

echo "cammunity erlaubt"

########### Chatprogs erlauben

########### MSN
### fuer Snake

$IPTABLES -A FORWARD -i $INTERFACE_INT -o $INTERFACE_EXT \
                   -m state \
                  --state NEW,ESTABLISHED,RELATED -p TCP --sport $PORTS_HIGH \
                  --dport 6891:6901 -j ACCEPT

$IPTABLES -A FORWARD -i $INTERFACE_EXT -o $INTERFACE_INT \
                   -m state \
                  --state ESTABLISHED,RELATED  -p TCP --sport 6891:6901 \
                  --dport $PORTS_HIGH -j ACCEPT

$IPTABLES -A FORWARD -i $INTERFACE_INT -o $INTERFACE_EXT \
                   -m state \
                  --state NEW,ESTABLISHED,RELATED -p TCP --sport $PORTS_HIGH \
                  --dport 1863 -j ACCEPT

$IPTABLES -A FORWARD -i $INTERFACE_EXT -o $INTERFACE_INT \
                   -m state \
                  --state ESTABLISHED,RELATED  -p TCP --sport 1863 \
                  --dport $PORTS_HIGH -j ACCEPT

$IPTABLES -A FORWARD -i $INTERFACE_INT -o $INTERFACE_EXT \
                   -m state \
                  --state NEW,ESTABLISHED,RELATED -p UDP --sport $PORTS_HIGH \
                  --dport 1863 -j ACCEPT


$IPTABLES -A FORWARD -i $INTERFACE_EXT -o $INTERFACE_INT \
                   -m state \
                  --state ESTABLISHED,RELATED  -p UDP --sport 1863 \
                  --dport $PORTS_HIGH -j ACCEPT

$IPTABLES -A FORWARD -i $INTERFACE_INT -o $INTERFACE_EXT \
                   -m state \
                  --state NEW,ESTABLISHED,RELATED -p UDP --sport $PORTS_HIGH \
                  --dport 5190 -j ACCEPT


$IPTABLES -A FORWARD -i $INTERFACE_EXT -o $INTERFACE_INT \
                   -m state \
                  --state ESTABLISHED,RELATED  -p UDP --sport 5190 \
                  --dport $PORTS_HIGH -j ACCEPT

$IPTABLES -A FORWARD -i $INTERFACE_INT -o $INTERFACE_EXT \
                   -m state \
                  --state NEW,ESTABLISHED,RELATED -p UDP --sport $PORTS_HIGH \
                  --dport 6901 -j ACCEPT


$IPTABLES -A FORWARD -i $INTERFACE_EXT -o $INTERFACE_INT \
                   -m state \
                  --state ESTABLISHED,RELATED  -p UDP --sport 6901 \
                  --dport $PORTS_HIGH -j ACCEPT

### fuer WLAN

$IPTABLES -A FORWARD -i $INTERFACE_WLA -o $INTERFACE_EXT \
                   -m state \
                  --state NEW,ESTABLISHED,RELATED -p TCP --sport $PORTS_HIGH \
                  --dport 6891:6901 -j ACCEPT

$IPTABLES -A FORWARD -i $INTERFACE_EXT -o $INTERFACE_WLA \
                   -m state \
                  --state ESTABLISHED,RELATED  -p TCP --sport 6891:6901 \
                  --dport $PORTS_HIGH -j ACCEPT

$IPTABLES -A FORWARD -i $INTERFACE_WLA -o $INTERFACE_EXT \
                   -m state \
                  --state NEW,ESTABLISHED,RELATED -p TCP --sport $PORTS_HIGH \
                  --dport 1863 -j ACCEPT

$IPTABLES -A FORWARD -i $INTERFACE_EXT -o $INTERFACE_WLA \
                   -m state \
                  --state ESTABLISHED,RELATED  -p TCP --sport 1863 \
                  --dport $PORTS_HIGH -j ACCEPT

$IPTABLES -A FORWARD -i $INTERFACE_WLA -o $INTERFACE_EXT \
                   -m state \
                  --state NEW,ESTABLISHED,RELATED -p UDP --sport $PORTS_HIGH \
                  --dport 1863 -j ACCEPT


$IPTABLES -A FORWARD -i $INTERFACE_EXT -o $INTERFACE_WLA \
                   -m state \
                  --state ESTABLISHED,RELATED  -p UDP --sport 1863 \
                  --dport $PORTS_HIGH -j ACCEPT

$IPTABLES -A FORWARD -i $INTERFACE_WLA -o $INTERFACE_EXT \
                   -m state \
                  --state NEW,ESTABLISHED,RELATED -p UDP --sport $PORTS_HIGH \
                  --dport 5190 -j ACCEPT


$IPTABLES -A FORWARD -i $INTERFACE_EXT -o $INTERFACE_WLA \
                   -m state \
                  --state ESTABLISHED,RELATED  -p UDP --sport 5190 \
                  --dport $PORTS_HIGH -j ACCEPT

$IPTABLES -A FORWARD -i $INTERFACE_WLA -o $INTERFACE_EXT \
                   -m state \
                  --state NEW,ESTABLISHED,RELATED -p UDP --sport $PORTS_HIGH \
                  --dport 6901 -j ACCEPT


$IPTABLES -A FORWARD -i $INTERFACE_EXT -o $INTERFACE_WLA \
                   -m state \
                  --state ESTABLISHED,RELATED  -p UDP --sport 6901 \
                  --dport $PORTS_HIGH -j ACCEPT

###yahoo

$IPTABLES -A FORWARD -i $INTERFACE_INT -o $INTERFACE_EXT \
                   -m state \
                  --state NEW,ESTABLISHED,RELATED -p TCP --sport $PORTS_HIGH \
                  --dport 5050:5070 -j ACCEPT

$IPTABLES -A FORWARD -i $INTERFACE_EXT -o $INTERFACE_INT \
                   -m state \
                  --state ESTABLISHED,RELATED  -p TCP --sport 5050:5070 \
                  --dport $PORTS_HIGH -j ACCEPT

echo "Chatprogs freigegeben"


########### Bestimmte ICMP Anfragen werden gestattet.
 
#
# Vom Netz ins Internet zur Diagnose nützlich
# $IPTABLES -A FORWARD -p ICMP --icmp-type
# echo-request -j ACCEPT
# $IPTABLES -A FORWARD -p ICMP --icmp-type
# echo-reply -j ACCEPT

# ROUTER_IP
$IPTABLES -A OUTPUT -p ICMP --icmp-type echo-request -j ACCEPT
$IPTABLES -A OUTPUT -p ICMP --icmp-type echo-reply -j ACCEPT
$IPTABLES -A OUTPUT -p ICMP --icmp-type redirect -j ACCEPT
$IPTABLES -A INPUT -p ICMP --icmp-type echo-request -j ACCEPT
$IPTABLES -A INPUT -p ICMP --icmp-type echo-reply -j ACCEPT
$IPTABLES -A INPUT -p ICMP --icmp-type redirect -j ACCEPT
echo "ICMP Anfragen des Firewallrouters werden gestattet"




############ Rest wird gesperrt und geloggt
$IPTABLES -A INPUT   -j TRASH
$IPTABLES -A FORWARD -j TRASH
$IPTABLES -A OUTPUT  -j TRASH
echo "Firewall eingeschaltet"

Das Problem ist das ich mit keinem der Rechner dann mehr ins Netz komme.

Die Ausgabe beim starten von dem Skript:
Code: 
folgende Regeln werden gesetzt
Dynamische Kernelparameter gesetzt
Alles verboten und alle Regeln gelöscht
Loggin eingeschaltet
Lokale Prozesse erlaubt
Bad argument `192.168.100.0'
Bad argument `TCP'
ssh vom LAN auf den Router erlaubt
Masquerading eingeschaltet
DNS  eingeschaltet
smtp  eingeschaltet
POP3  eingeschaltet
http eingeschaltet
https eingeschaltet
Filesharing erlaubt
cammunity erlaubt
Chatprogs freigegeben
ICMP Anfragen des Firewallrouters werden gestattet
Firewall eingeschaltet

ifconfig:
Code: 
dsl0      Protokoll:Punkt-zu-Punkt Verbindung  
          inet Adresse:84.190.111.158  P-z-P:217.0.116.4  Maske:255.255.255.255
          UP PUNKTZUPUNKT RUNNING NOARP MULTICAST  MTU:1492  Metric:1
          RX packets:108 errors:0 dropped:0 overruns:0 frame:0
          TX packets:62 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 Sendewarteschlangenlänge:3 
          RX bytes:49933 (48.7 Kb)  TX bytes:9810 (9.5 Kb)

eth0      Protokoll:Ethernet  Hardware Adresse 00:50:22:E9:B5:7C  
          inet Adresse:192.168.100.0  Bcast:192.168.100.255  Maske:255.255.255.0
          UP BROADCAST RUNNING MULTICAST  MTU:1490  Metric:1
          RX packets:22998464 errors:0 dropped:0 overruns:0 frame:0
          TX packets:24900913 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 Sendewarteschlangenlänge:1000 
          RX bytes:1046344177 (997.8 Mb)  TX bytes:803244906 (766.0 Mb)
          Interrupt:11 Basisadresse:0xc000 

eth1      Protokoll:Ethernet  Hardware Adresse 00:50:22:E7:43:54  
          inet Adresse:192.168.17.1  Bcast:192.168.17.255  Maske:255.255.255.0
          UP BROADCAST RUNNING MULTICAST  MTU:1490  Metric:1
          RX packets:22088160 errors:0 dropped:0 overruns:0 frame:0
          TX packets:19972109 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 Sendewarteschlangenlänge:1000 
          RX bytes:3514494074 (3351.6 Mb)  TX bytes:3317859518 (3164.1 Mb)
          Interrupt:5 

eth2      Protokoll:Ethernet  Hardware Adresse 00:08:54:09:DB:3E  
          inet Adresse:192.168.2.1  Bcast:192.168.2.255  Maske:255.255.255.0
          UP BROADCAST RUNNING MULTICAST  MTU:1490  Metric:1
          RX packets:2750607 errors:0 dropped:0 overruns:0 frame:0
          TX packets:2744395 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 Sendewarteschlangenlänge:1000 
          RX bytes:1396269506 (1331.5 Mb)  TX bytes:1730074712 (1649.9 Mb)
          Interrupt:12 Basisadresse:0xe000 

lo        Protokoll:Lokale Schleife  
          inet Adresse:127.0.0.1  Maske:255.0.0.0
          UP LOOPBACK RUNNING  MTU:16436  Metric:1
          RX packets:0 errors:0 dropped:0 overruns:0 frame:0
          TX packets:0 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 Sendewarteschlangenlänge:0 
          RX bytes:0 (0.0 b)  TX bytes:0 (0.0 b)

Wo liegt jetzt mein kapitaler Gedankefehler?


Gruss Burner
 
nbkr

nbkr

Guru
Sicher das der Wert von ROUTER_IP richtig ist? Sieht mir mehr nach einem Netz aus, als nach einer Hostadresse.
 
OP
Burner

Burner

Member
Eigentlich ja. Habe aber mal die IP vom Router auf 192.168.100.1 umgestellt. Pingen im eigenem Netz funktioniert. Der Ping vom Router mittels IP-Adresse nach draussen geht, nur nicht mittels Webadresse (www.google.de). Die Rechner im Netzwerk koennen den Router anpingen aber weder so noch so ins I-Net.
Scheint wohl ein Routingproblem zu sein

Gruss Burner
 
B

Beppo

Member
Ich sehe keine Regel die erlaubt das der Router selber DNS Anfragen senden darf.
Und was sagt den ein "cat /etc/resolv.conf" und sind die oder der DNS Server bei den Klienten eingerichtet ?
 
OP
Burner

Burner

Member
Braucht er auch nicht, da sich die Clients alle selber zu einem DNS ausserhalb meines Netzes verbinden. Sprich ich habe keinen eigenen DNS aufgesetzt.

Die resolv.conf
Code: 
nameserver 217.237.151.33
nameserver 194.25.2.129
Daran kann es aber nicht liegen da ich ja ins Netz komme wenn ich die Hauseigene Susefirewall starte. Von daher kann es eigentlich nur an meinem Skript liegen.

Gruss Burner
 
B

Beppo

Member
OK aber dem Router erlaubst du nicht DNS aufzulösen...

so was fehlt:

for ((I=1; $I <= $ANZAHL; I++)) ; do
# DNS-IP's ermitteln
DNSIP=$(grep ^nameserver /etc/resolv.conf | head -n $I | tail -n 1 \
| cut -d " " -f 2)

# $DNSIP in die chains schreiben
$IPTABLES -A INPUT -i $E_IF -p UDP -s $DNSIP --source-port 53 -j ACCEPT
$IPTABLES -A OUTPUT -o $E_IF -p UDP -d $DNSIP --destination-port 53 -j ACCEPT

# Schleifenabbruch
if [ $I -eq $ANZAHL ] ; then
break
fi
done

dann darf der Router auch auflösen.

Poste mal was ein "route -n" auf dem Router bei dir hervor bringt

Grüße Beppo
 
OP
Burner

Burner

Member
Das Script sieht jetzt so aus:
Code: 
#!/bin/bash
#############  Firewallskript für einen Linux Router
# copyright (c) gaw
# Autor: gaw
# Oktober 2004

############# Initialisierung der Variablen

#/etc/rc.status
#rc_reset

#case "$1" in
#	start|restart|reload|stop)

echo "folgende Regeln werden gesetzt"

############# Interfaces
INTERFACE_EXT="dsl0"
INTERFACE_INT="eth1"
INTERFACE_WLA="eth2"  
INTERFACES="$INTERFACE_EXT $INTERFACE_INT $INTERFACE_WLA"
ROUTER_IP="192.168.100.1"
#$FTP_SERVER_IP="192.168.1.100"
LOCAL_NET_IP="192.168.17.0/24"
LOCAL_WLA_IP="192.168.2.0/24"

############# Portnummern
PORTS_HIGH="1024:65535"

############# Programm
IPTABLES="/usr/sbin/iptables"



############# Grundkonfiguration

############# Vorläufiges Ausschalten des IP Forwarding.
echo "0" > /proc/sys/net/ipv4/ip_forward

############# TCP-Syncookies, Abwehrmaßnahme gegen das SYN Flooding.
echo "1" > /proc/sys/net/ipv4/tcp_syncookies

############# Ignorieren von Echoauforderungen von icmp
############# Abwehrmaßnahme gegen Broadcast-Stürme
echo "1" > /proc/sys/net/ipv4/icmp_echo_ignore_broadcasts

############# Das Loggen ungültiger ICMP-Pakete wird ausgeschaltet,
echo "1" > /proc/sys/net/ipv4/icmp_ignore_bogus_error_responses

############# Schleife für alle Schnittstellen in $INTERFACES
for if in $INTERFACES;
do

        ##### IP-Spoof Protection
        echo "1" > /proc/sys/net/ipv4/conf/$if/rp_filter

        ##### Keine Redirections
        echo "0" > /proc/sys/net/ipv4/conf/$if/accept_redirects

        ##### Kein Source-Routing
        echo "0" > /proc/sys/net/ipv4/conf/$if/accept_source_route

        ##### Kein Bootstrap Protokoll
        echo "0" > /proc/sys/net/ipv4/conf/$if/bootp_relay

        ##### Ungültige IP-Pakete werden geloggt.
        echo "1" > /proc/sys/net/ipv4/conf/$if/log_martians
done
echo "Dynamische Kernelparameter gesetzt"

############ Alle Pakete der Grundeinstellung werden verworfen

$IPTABLES -P INPUT DROP
$IPTABLES -P FORWARD DROP
$IPTABLES -P OUTPUT DROP

############ Alle eventuell noch vorhandenen Regeln werden gelöscht

############ Lösche alle Regeln aus der Filter Tabelle
$IPTABLES -F

############ Lösche alle Regeln aus der NAT Tabelle
$IPTABLES -t nat -F

############ Lösche alle selbstdefinierten Regeln
$IPTABLES -X

echo "Alles verboten und alle Regeln gelöscht"

############ Selbstdefinierte Regelkette zum Loggen wird erstellt

$IPTABLES -N TRASH

# Hier folgen Regeln für Pakete die nicht geloggt werden sollen als
# Schutz gegen ein Überquellen der Logdateien
$IPTABLES -A TRASH -p UDP --dport 123 -j DROP
# IPP-Anfragen zur Druckereinstellungen müssen nicht geloggt werden
#$IPTABLES -A TRASH -p UDP -s 192.168.0.1 --dport 631 -j DROP
#IPTABLES -A TRASH -p UDP --dport $NETBIOS_PORTS -j DROP
#IPTABLES -A TRASH -p TCP --dport $NETBIOS_PORTS -j DROP
$IPTABLES -A TRASH -p TCP --dport 445 -j DROP
$IPTABLES -A TRASH -p TCP --dport 135 -j DROP

# Diese Pakete sollen geloggt werden
$IPTABLES -A TRASH -p ICMP -j LOG --log-prefix "Abgelehnte-ICMP-Pakete "
$IPTABLES -A TRASH -p UDP  -j LOG --log-prefix "Abgelehnte-UDP-Pakete "
$IPTABLES -A TRASH -p TCP  -j LOG --log-prefix "Abgelehnte-TCP-Pakete "
$IPTABLES -A TRASH -j DROP

echo "Loggin eingeschaltet"


############ Bis hier ist alles verboten. Nun werden bestimmte
############ Pakete wieder akzeptiert

############ Lokale Prozesse auf dem Rechner akzeptieren ###############
$IPTABLES -A OUTPUT -o lo -j ACCEPT
$IPTABLES -A INPUT  -i lo -j ACCEPT

echo "Lokale Prozesse erlaubt"
############ SSH Verbindungen vom internen Netz erlauben

$IPTABLES -A INPUT -i $INTERFACE_INT -s $LOCAL_NET -d $ROUTER_IP \
          -p TCP --sport $PORTS_HIGH --dport ssh \
          -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT


$IPTABLES -A OUTPUT -o $INTERFACE_INT -s $ROUTER_IP -d $LOCAL_NET \
          -p TCP --dport $PORTS_HIGH --sport ssh \
          -m state --state ESTABLISHED,RELATED -j ACCEPT

echo "ssh vom LAN auf den Router erlaubt"

########### SSH Absichern

$IPTABLES -A INPUT -p tcp --dport 22 -m state --state NEW -m recent --set --name SSH -j ACCEPT
$IPTABLES -A INPUT -p tcp --dport 22 -m recent --update --seconds 60 --hitcount 4 --rttl --name SSH -j LOG --log-prefix "SSH_brute_force"
$IPTABLES -A INPUT -p tcp --dport 22 -m recent --update --seconds 120 --hitcount 4 --rttl --name SSH -j DROP


########### DNS Aufloesen

for ((l=1; $1 <=$ANZAHL; l++)); do
# DNS-IP#s ermitteln
DNSIP= $( grep nameserver /etc/resolv.conf  head -n $1 | tail -n 1 | cut -d " " -f2 )

# DNS-IP in die Chains schreiben
$IPTABLES -A INPUT -i $E_IF -p UDP -s $DNSIP --source-port 53 -j ACCEPT
$IPTABLES -A OUTPUT -o $E_IF -p UDP -d $DNSIP --destination-port 53 -j ACCEPT

# Schleifenabbruch
if [$l -eq $ANZAHL }; then
break
fi
done



########### Masquarading einschalten


$IPTABLES -t nat -A POSTROUTING -o $INTERFACE_EXT -j MASQUERADE

########### IP-Forwarding und DNAT einschalten
echo "1" > /proc/sys/net/ipv4/ip_forward
#echo "1" > /proc/sys/net/ipv4/ip_dynaddr

echo "Masquerading eingeschaltet"

########### Web-Anfragen werden auf internen Webserver umgelenkt

#$IPTABLES -A PREROUTING -t nat -p tcp --dport $HTTP_PORT -i ppp0 \
#        -j DNAT --to-destination $WEB_SERVER_IP

#echo "DNAT für Webserver eingeschaltet:"
#echo "http-Anfragen werden nach $WEB_SERVER_IP umgeleitet"

########### WEB-Anfragen zum Weiterleiten werden akzeptiert

#$IPTABLES -A FORWARD -i $INTERFACE_EXT -o $INTERFACE_INT \
#                 -d $WEB_SERVER_IP -m state \
#                  --state NEW,ESTABLISHED,RELATED -p TCP \
#                 --sport $PORTS_HIGH \
#                  --dport ftp -j ACCEPT

# $IPTABLES -A FORWARD -i $INTERFACE_INT -o $INTERFACE_EXT \
#                 -s $WEB_SERVER_IP -m state \
#                  --state ESTABLISHED,RELATED -p TCP \
#                 --sport ftp \
#                  --dport $PORTS_HIGH -j ACCEPT

#echo "WEB-Anfragen aus dem Netz werden akzeptiert"

########### DNS Verbindungen erlauben

$IPTABLES -A FORWARD -i $INTERFACE_INT -o $INTERFACE_EXT \
                   -m state \
                  --state NEW,ESTABLISHED,RELATED -p UDP --sport $PORTS_HIGH \
                  --dport 53 -j ACCEPT


$IPTABLES -A FORWARD -i $INTERFACE_EXT -o $INTERFACE_INT \
                   -m state \
                  --state ESTABLISHED,RELATED  -p UDP --sport 53 \
                  --dport $PORTS_HIGH -j ACCEPT

$IPTABLES -A FORWARD -i $INTERFACE_WLA -o $INTERFACE_EXT \
			-m state \
			--state NEW,ESTABLISHED,RELATED -p UDP --sport $PORTS_HIGH \
			--dport 53 -j ACCEPT

$IPTABLES -A FORWARD -i $INTERFACE_EXT -o $INTERFACE_WLA \
			-m state \
			--state ESTABLISHED,RELATED -p UDP --sport 53 \
			--dport $PORTS_HIGH -j ACCEPT


 echo "DNS  eingeschaltet"

########### smtp Verbindungen erlauben

$IPTABLES -A FORWARD -i $INTERFACE_INT -o $INTERFACE_EXT \
                   -m state \
                  --state NEW,ESTABLISHED,RELATED -p TCP --sport $PORTS_HIGH \
                  --dport smtp -j ACCEPT

$IPTABLES -A FORWARD -i $INTERFACE_EXT -o $INTERFACE_INT \
                   -m state \
                  --state ESTABLISHED,RELATED  -p TCP --sport smtp \
                  --dport $PORTS_HIGH -j ACCEPT

$IPTABLES -A FORWARD -i $INTERFACE_WLA -o $INTERFACE_EXT \
                   -m state \
                  --state NEW,ESTABLISHED,RELATED -p TCP --sport $PORTS_HIGH \
                  --dport smtp -j ACCEPT

$IPTABLES -A FORWARD -i $INTERFACE_EXT -o $INTERFACE_WLA \
                   -m state \
                  --state ESTABLISHED,RELATED  -p TCP --sport smtp \
                  --dport $PORTS_HIGH -j ACCEPT

echo "smtp  eingeschaltet"

########### POP3 Verbindungen erlauben

$IPTABLES -A FORWARD -i $INTERFACE_INT -o $INTERFACE_EXT \
                   -m state \
                  --state NEW,ESTABLISHED,RELATED -p TCP --sport $PORTS_HIGH \
                  --dport 110 -j ACCEPT

$IPTABLES -A FORWARD -i $INTERFACE_EXT -o $INTERFACE_INT \
                   -m state \
                  --state ESTABLISHED,RELATED  -p TCP --sport 110 \
                  --dport $PORTS_HIGH -j ACCEPT

$IPTABLES -A FORWARD -i $INTERFACE_WLA -o $INTERFACE_EXT \
                   -m state \
                  --state NEW,ESTABLISHED,RELATED -p TCP --sport $PORTS_HIGH \
                  --dport 110 -j ACCEPT

$IPTABLES -A FORWARD -i $INTERFACE_EXT -o $INTERFACE_WLA \
                   -m state \
                  --state ESTABLISHED,RELATED  -p TCP --sport 110 \
                  --dport $PORTS_HIGH -j ACCEPT

echo "POP3  eingeschaltet"



########### http -Verbindungen erlauben
#
$IPTABLES -A FORWARD -i $INTERFACE_INT -o $INTERFACE_EXT \
                   -m state \
                  --state NEW,ESTABLISHED,RELATED -p TCP --sport $PORTS_HIGH \
                  --dport http -j ACCEPT

$IPTABLES -A FORWARD -i $INTERFACE_EXT -o $INTERFACE_INT \
                   -m state \
                  --state ESTABLISHED,RELATED  -p TCP --sport http \
                  --dport $PORTS_HIGH -j ACCEPT

$IPTABLES -A FORWARD -i $INTERFACE_WLA -o $INTERFACE_EXT \
                   -m state \
                  --state NEW,ESTABLISHED,RELATED -p TCP --sport $PORTS_HIGH \
                  --dport http -j ACCEPT

$IPTABLES -A FORWARD -i $INTERFACE_EXT -o $INTERFACE_WLA \
                   -m state \
                  --state ESTABLISHED,RELATED  -p TCP --sport http \
                  --dport $PORTS_HIGH -j ACCEPT

echo "http eingeschaltet"

########### https-Verbindungen erlauben

$IPTABLES -A FORWARD -i $INTERFACE_INT -o $INTERFACE_EXT \
                   -m state \
                  --state NEW,ESTABLISHED,RELATED -p TCP --sport $PORTS_HIGH \
                  --dport https -j ACCEPT

$IPTABLES -A FORWARD -i $INTERFACE_EXT -o $INTERFACE_INT \
                   -m state \
                  --state ESTABLISHED,RELATED  -p TCP --sport https \
                  --dport $PORTS_HIGH -j ACCEPT

$IPTABLES -A FORWARD -i $INTERFACE_WLA -o $INTERFACE_EXT \
                   -m state \
                  --state NEW,ESTABLISHED,RELATED -p TCP --sport $PORTS_HIGH \
                  --dport https -j ACCEPT

$IPTABLES -A FORWARD -i $INTERFACE_EXT -o $INTERFACE_WLA \
                   -m state \
                  --state ESTABLISHED,RELATED  -p TCP --sport https \
                  --dport $PORTS_HIGH -j ACCEPT

echo "https eingeschaltet"


########### Filesharing
########### Esel erlauben

$IPTABLES -A FORWARD -i $INTERFACE_INT -o $INTERFACE_EXT \
                   -m state \
                  --state NEW,ESTABLISHED,RELATED -p TCP --sport $PORTS_HIGH \
                  --dport 4661:4665 -j ACCEPT

$IPTABLES -A FORWARD -i $INTERFACE_EXT -o $INTERFACE_INT \
                   -m state \
                  --state ESTABLISHED,RELATED  -p TCP --sport 4661:4665 \
                  --dport $PORTS_HIGH -j ACCEPT

$IPTABLES -A FORWARD -i $INTERFACE_INT -o $INTERFACE_EXT \
                   -m state \
                  --state NEW,ESTABLISHED,RELATED -p UDP --sport $PORTS_HIGH \
                  --dport 4672 -j ACCEPT


$IPTABLES -A FORWARD -i $INTERFACE_EXT -o $INTERFACE_INT \
                   -m state \
                  --state ESTABLISHED,RELATED  -p UDP --sport 4672 \
                  --dport $PORTS_HIGH -j ACCEPT

$IPTABLES -A FORWARD -i $INTERFACE_INT -o $INTERFACE_EXT \
                   -m state \
                  --state NEW,ESTABLISHED,RELATED -p UDP --sport $PORTS_HIGH \
                  --dport 4665 -j ACCEPT


$IPTABLES -A FORWARD -i $INTERFACE_EXT -o $INTERFACE_INT \
                   -m state \
                  --state ESTABLISHED,RELATED  -p UDP --sport 4665 \
                  --dport $PORTS_HIGH -j ACCEPT

########### Bittorent erlauben

$IPTABLES -A FORWARD -i $INTERFACE_INT -o $INTERFACE_EXT \
                   -m state \
                  --state NEW,ESTABLISHED,RELATED -p TCP --sport $PORTS_HIGH \
                  --dport 6881:6889 -j ACCEPT

$IPTABLES -A FORWARD -i $INTERFACE_EXT -o $INTERFACE_INT \
                   -m state \
                  --state ESTABLISHED,RELATED  -p TCP --sport 6881:6889 \
                  --dport $PORTS_HIGH -j ACCEPT

########### WinMX erlauben

$IPTABLES -A  FORWARD -i $INTERFACE_INT -o $INTERFACE_EXT \
	            -m state \
		   --state NEW,ESTABLISHED,RELATED -p TCP --sport $PORTS_HIGH \
		   --dport 6699 -j ACCEPT

$IPTABLES -A FORWARD -i $INTERFACE_EXT -o $INTERFACE_INT \
		   -m state \
		  --state NEW,ESTABLISHED,RELATED -p TCP --sport $PORTS_HIGH \
		  --dport 6699 -j ACCEPT

$IPTABLES -A FORWARD -i $INTERFACE_INT -o $INTERFACE_EXT \
                   -m state \
                  --state NEW,ESTABLISHED,RELATED -p UDP --sport $PORTS_HIGH \
                  --dport 6257 -j ACCEPT

$IPTABLES -A FORWARD -i $INTERFACE_EXT -o $INTERFACE_INT \
                   -m state \
                  --state ESTABLISHED,RELATED -p UDP --sport 6257 \
                  --dport $PORTS_HIGH -j ACCEPT

echo "Filesharing erlaubt"

########### cammunity erlauben

$IPTABLES -A FORWARD -i $INTERFACE_INT -o $INTERFACE_EXT \
                   -m state \
                  --state NEW,ESTABLISHED,RELATED -p TCP --sport $PORTS_HIGH \
                  --dport 8080 -j ACCEPT

$IPTABLES -A FORWARD -i $INTERFACE_EXT -o $INTERFACE_INT \
                   -m state \
                  --state ESTABLISHED,RELATED  -p TCP --sport 8080 \
                  --dport $PORTS_HIGH -j ACCEPT

$IPTABLES -A FORWARD -i $INTERFACE_INT -o $INTERFACE_EXT \
                   -m state \
                  --state NEW,ESTABLISHED,RELATED -p TCP --sport $PORTS_HIGH \
                  --dport 9000:9006 -j ACCEPT

$IPTABLES -A FORWARD -i $INTERFACE_EXT -o $INTERFACE_INT \
                   -m state \
                  --state ESTABLISHED,RELATED  -p TCP --sport 9000:9006 \
                  --dport $PORTS_HIGH -j ACCEPT

echo "cammunity erlaubt"

########### Chatprogs erlauben

########### MSN
### fuer Snake

$IPTABLES -A FORWARD -i $INTERFACE_INT -o $INTERFACE_EXT \
                   -m state \
                  --state NEW,ESTABLISHED,RELATED -p TCP --sport $PORTS_HIGH \
                  --dport 6891:6901 -j ACCEPT

$IPTABLES -A FORWARD -i $INTERFACE_EXT -o $INTERFACE_INT \
                   -m state \
                  --state ESTABLISHED,RELATED  -p TCP --sport 6891:6901 \
                  --dport $PORTS_HIGH -j ACCEPT

$IPTABLES -A FORWARD -i $INTERFACE_INT -o $INTERFACE_EXT \
                   -m state \
                  --state NEW,ESTABLISHED,RELATED -p TCP --sport $PORTS_HIGH \
                  --dport 1863 -j ACCEPT

$IPTABLES -A FORWARD -i $INTERFACE_EXT -o $INTERFACE_INT \
                   -m state \
                  --state ESTABLISHED,RELATED  -p TCP --sport 1863 \
                  --dport $PORTS_HIGH -j ACCEPT

$IPTABLES -A FORWARD -i $INTERFACE_INT -o $INTERFACE_EXT \
                   -m state \
                  --state NEW,ESTABLISHED,RELATED -p UDP --sport $PORTS_HIGH \
                  --dport 1863 -j ACCEPT


$IPTABLES -A FORWARD -i $INTERFACE_EXT -o $INTERFACE_INT \
                   -m state \
                  --state ESTABLISHED,RELATED  -p UDP --sport 1863 \
                  --dport $PORTS_HIGH -j ACCEPT

$IPTABLES -A FORWARD -i $INTERFACE_INT -o $INTERFACE_EXT \
                   -m state \
                  --state NEW,ESTABLISHED,RELATED -p UDP --sport $PORTS_HIGH \
                  --dport 5190 -j ACCEPT


$IPTABLES -A FORWARD -i $INTERFACE_EXT -o $INTERFACE_INT \
                   -m state \
                  --state ESTABLISHED,RELATED  -p UDP --sport 5190 \
                  --dport $PORTS_HIGH -j ACCEPT

$IPTABLES -A FORWARD -i $INTERFACE_INT -o $INTERFACE_EXT \
                   -m state \
                  --state NEW,ESTABLISHED,RELATED -p UDP --sport $PORTS_HIGH \
                  --dport 6901 -j ACCEPT


$IPTABLES -A FORWARD -i $INTERFACE_EXT -o $INTERFACE_INT \
                   -m state \
                  --state ESTABLISHED,RELATED  -p UDP --sport 6901 \
                  --dport $PORTS_HIGH -j ACCEPT

### fuer WLAN

$IPTABLES -A FORWARD -i $INTERFACE_WLA -o $INTERFACE_EXT \
                   -m state \
                  --state NEW,ESTABLISHED,RELATED -p TCP --sport $PORTS_HIGH \
                  --dport 6891:6901 -j ACCEPT

$IPTABLES -A FORWARD -i $INTERFACE_EXT -o $INTERFACE_WLA \
                   -m state \
                  --state ESTABLISHED,RELATED  -p TCP --sport 6891:6901 \
                  --dport $PORTS_HIGH -j ACCEPT

$IPTABLES -A FORWARD -i $INTERFACE_WLA -o $INTERFACE_EXT \
                   -m state \
                  --state NEW,ESTABLISHED,RELATED -p TCP --sport $PORTS_HIGH \
                  --dport 1863 -j ACCEPT

$IPTABLES -A FORWARD -i $INTERFACE_EXT -o $INTERFACE_WLA \
                   -m state \
                  --state ESTABLISHED,RELATED  -p TCP --sport 1863 \
                  --dport $PORTS_HIGH -j ACCEPT

$IPTABLES -A FORWARD -i $INTERFACE_WLA -o $INTERFACE_EXT \
                   -m state \
                  --state NEW,ESTABLISHED,RELATED -p UDP --sport $PORTS_HIGH \
                  --dport 1863 -j ACCEPT


$IPTABLES -A FORWARD -i $INTERFACE_EXT -o $INTERFACE_WLA \
                   -m state \
                  --state ESTABLISHED,RELATED  -p UDP --sport 1863 \
                  --dport $PORTS_HIGH -j ACCEPT

$IPTABLES -A FORWARD -i $INTERFACE_WLA -o $INTERFACE_EXT \
                   -m state \
                  --state NEW,ESTABLISHED,RELATED -p UDP --sport $PORTS_HIGH \
                  --dport 5190 -j ACCEPT


$IPTABLES -A FORWARD -i $INTERFACE_EXT -o $INTERFACE_WLA \
                   -m state \
                  --state ESTABLISHED,RELATED  -p UDP --sport 5190 \
                  --dport $PORTS_HIGH -j ACCEPT

$IPTABLES -A FORWARD -i $INTERFACE_WLA -o $INTERFACE_EXT \
                   -m state \
                  --state NEW,ESTABLISHED,RELATED -p UDP --sport $PORTS_HIGH \
                  --dport 6901 -j ACCEPT


$IPTABLES -A FORWARD -i $INTERFACE_EXT -o $INTERFACE_WLA \
                   -m state \
                  --state ESTABLISHED,RELATED  -p UDP --sport 6901 \
                  --dport $PORTS_HIGH -j ACCEPT

###yahoo

$IPTABLES -A FORWARD -i $INTERFACE_INT -o $INTERFACE_EXT \
                   -m state \
                  --state NEW,ESTABLISHED,RELATED -p TCP --sport $PORTS_HIGH \
                  --dport 5050:5070 -j ACCEPT

$IPTABLES -A FORWARD -i $INTERFACE_EXT -o $INTERFACE_INT \
                   -m state \
                  --state ESTABLISHED,RELATED  -p TCP --sport 5050:5070 \
                  --dport $PORTS_HIGH -j ACCEPT

echo "Chatprogs freigegeben"


########### Bestimmte ICMP Anfragen werden gestattet.
 
#
# Vom Netz ins Internet zur Diagnose nützlich
# $IPTABLES -A FORWARD -p ICMP --icmp-type
# echo-request -j ACCEPT
# $IPTABLES -A FORWARD -p ICMP --icmp-type
# echo-reply -j ACCEPT

# ROUTER_IP
$IPTABLES -A OUTPUT -p ICMP --icmp-type echo-request -j ACCEPT
$IPTABLES -A OUTPUT -p ICMP --icmp-type echo-reply -j ACCEPT
$IPTABLES -A OUTPUT -p ICMP --icmp-type redirect -j ACCEPT
$IPTABLES -A INPUT -p ICMP --icmp-type echo-request -j ACCEPT
$IPTABLES -A INPUT -p ICMP --icmp-type echo-reply -j ACCEPT
$IPTABLES -A INPUT -p ICMP --icmp-type redirect -j ACCEPT
echo "ICMP Anfragen des Firewallrouters werden gestattet"




############ Rest wird gesperrt und geloggt
$IPTABLES -A INPUT   -j TRASH
$IPTABLES -A FORWARD -j TRASH
$IPTABLES -A OUTPUT  -j TRASH
echo "Firewall eingeschaltet"


#echo "Folgende Regeln sind gesetzt"
#iptables -L -v
#iptables -v -t nat -L POSTROUTING
#iptables -v -t nat -L PREROUTING

route -n :
Code: 
Kernel IP Routentabelle
Ziel            Router          Genmask         Flags Metric Ref    Use Iface
217.0.116.4     0.0.0.0         255.255.255.255 UH    0      0        0 dsl0
192.168.100.0   0.0.0.0         255.255.255.0   U     0      0        0 eth0
192.168.2.0     0.0.0.0         255.255.255.0   U     0      0        0 eth2
192.168.17.0    0.0.0.0         255.255.255.0   U     0      0        0 eth1
169.254.0.0     0.0.0.0         255.255.0.0     U     0      0        0 eth0
127.0.0.0       0.0.0.0         255.0.0.0       U     0      0        0 lo
0.0.0.0         0.0.0.0         0.0.0.0         U     0      0        0 dsl0

Die Namensaufloesung geht immer noch nicht. Weder vom Server noch von den Clients. Komme mit den Clients auch nicht ins Netz. Mit dem Server ja solange ich eine IP angebe.

Gruss Burner
 
B

Beppo

Member
Hallo Burner,

du hast die Variablen nicht geändert... bei dir ist die Variable $E_IF -->
$INTERFACE_EXT . Ändere das mal und bei deinen Routen bin ich mir auch nicht so sicher

Eigentlich müsste das so aussehen:

217.0.116.4 0.0.0.0 255.255.255.255 UH 0 0 0 dsl0
192.168.100.0 0.0.0.0 255.255.255.0 U 0 0 0 eth0
192.168.2.0 0.0.0.0 255.255.255.0 U 0 0 0 eth2
192.168.17.0 0.0.0.0 255.255.255.0 U 0 0 0 eth1
169.254.0.0 0.0.0.0 255.255.0.0 U 0 0 0 eth0
127.0.0.0 0.0.0.0 255.0.0.0 U 0 0 0 lo
0.0.0.0 217.0.116.4 0.0.0.0 UG 0 0 0 dsl0
-------------- ----
Am besten du guckst noch mal nach was du unter Yast alles eingetragen hast und ob die SuSEFirewall aus ist.

Grüße Beppo
 
Du musst dich einloggen oder registrieren, um hier zu antworten.
Oben