#!/bin/sh
#==============================================================================
# Copyright (C) 2009 - Fabricio Vaccari Constanski                            #
# http://www.fabriciovc.eti.br | fabriciovc@fabriciovc.eti.br                 #
#                                                                             #
# Este trabalho esta licenciado sob uma Licenca Creative Commons              #
# Atribuicao-Compartilhamento pela mesma Licenca 2.5 Brasil. Para ver a copia #
# desta licenca, acesse: http://creativecommons.org/licenses/by-sa/2.5/br/    #
# ou envie uma carta para Creative Commons, 171 Second Street, Suite 300,     #
# San Francisco, California 94105, USA.                                       #
#                                                                             #
# Ultima Atualizacao: 18/09/2009 - Fabricio Vaccari Constanski                #
#==============================================================================
#------------------------------------------------------------------------------
# Comando iptables
IPTABLES=`which iptables`
# Comando modprobe
MODPROBE=`which modprobe`
# /proc/sys/net/ipv4
PSNI=/proc/sys/net/ipv4
#---------------------------------------------------------------------------------
# Habilita repasse de pacotes
echo 1 > $PSNI/ip_forward
# Habilitar protecao contra synflood
echo 1 > $PSNI/tcp_syncookies
# Habilitar verificacao de rota de origem (Protecao p/ IP Spoofing)
for RP in $PSNI/conf/*/rp_filter ; do echo 1 > $RP ; done
# Controle de ICMP
echo 0 > $PSNI/icmp_echo_ignore_all
echo 1 > $PSNI/icmp_echo_ignore_broadcasts
#---------------------------------------------------------------------------------
# Carregando módulos
$MODPROBE ip_conntrack
$MODPROBE ip_conntrack_ftp
$MODPROBE ip_nat_ftp
#---------------------------------------------------------------------------------
# Limpando regras e cadeias anteriores
$IPTABLES -t filter -F
$IPTABLES -t nat -F
$IPTABLES -t mangle -F
$IPTABLES -t filter -X
$IPTABLES -t nat -X
$IPTABLES -t mangle -X
#---------------------------------------------------------------------------------
# Definindo politica padrao ACCEPT
$IPTABLES -P INPUT ACCEPT
$IPTABLES -P FORWARD ACCEPT
$IPTABLES -P OUTPUT ACCEPT
#---------------------------------------------------------------------------------
# Liberar SSH
$IPTABLES -A INPUT -p tcp -m tcp --dport 22022 -j ACCEPT
#---------------------------------------------------------------------------------
case $1 in 
  start)
    #-----------------------------------------------------------------------------
    # Definindo politica padrao DROP
    $IPTABLES -P INPUT DROP
    $IPTABLES -P FORWARD DROP
    $IPTABLES -P OUTPUT ACCEPT
    #-----------------------------------------------------------------------------
    # Liberar loopback
    $IPTABLES -A INPUT -s 127.0.0.1/32 -j ACCEPT
    #-----------------------------------------------------------------------------
    # Liberar retorno de conexoes
    $IPTABLES -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
    #-----------------------------------------------------------------------------
    # Liberar FTP
    $IPTABLES -A INPUT -p tcp -m tcp --dport 21 -j ACCEPT
    #-----------------------------------------------------------------------------
    # Liberar SMTP
    $IPTABLES -A INPUT -p tcp -m tcp --dport 25 -j ACCEPT
    #-----------------------------------------------------------------------------
    # Liberar DNS
    $IPTABLES -A INPUT -p tcp -m tcp --dport 53 -j ACCEPT
    $IPTABLES -A INPUT -p udp -m udp --dport 53 -j ACCEPT
    $IPTABLES -A INPUT -p tcp -m tcp --sport 53 -j ACCEPT
    $IPTABLES -A INPUT -p udp -m udp --sport 53 -j ACCEPT
    #-----------------------------------------------------------------------------
    # Liberar HTTP
    $IPTABLES -A INPUT -p tcp -m tcp --dport 80 -j ACCEPT
    #-----------------------------------------------------------------------------
    # Liberar POP
    $IPTABLES -A INPUT -p tcp -m tcp --dport 110 -j ACCEPT
    #-----------------------------------------------------------------------------
    # Liberar ntpdate (NTP)
    $IPTABLES -A INPUT -p udp -m udp --sport 123 -j ACCEPT
    #-----------------------------------------------------------------------------
    # Liberar IMAP
    $IPTABLES -A INPUT -p tcp -m tcp --dport 143 -j ACCEPT
    #-----------------------------------------------------------------------------
    # Liberar SNMP
    $IPTABLES -A INPUT -p udp -m udp --dport 161 -j ACCEPT
    #-----------------------------------------------------------------------------
    # Liberar IMAPS
    #$IPTABLES -A INPUT -p tcp -m tcp --dport 993 -j ACCEPT
    #-----------------------------------------------------------------------------
    # Liberar POPS
    #$IPTABLES -A INPUT -p tcp -m tcp --dport 995 -j ACCEPT
    #-----------------------------------------------------------------------------
    # Liberar MySQL
    #$IPTABLES -A INPUT -p tcp -m tcp --dport 3306 -j ACCEPT
    #-----------------------------------------------------------------------------
    # Liberar ping (ICMP)
    $IPTABLES -A INPUT -p icmp --icmp-type 0 -m limit --limit 1/s -j ACCEPT
    $IPTABLES -A INPUT -p icmp --icmp-type 3 -m limit --limit 1/s -j ACCEPT
    $IPTABLES -A INPUT -p icmp --icmp-type 5 -m limit --limit 1/s -j ACCEPT
    $IPTABLES -A INPUT -p icmp --icmp-type 8 -m limit --limit 1/s -j ACCEPT
    $IPTABLES -A INPUT -p icmp --icmp-type 11 -m limit --limit 1/s -j ACCEPT
    $IPTABLES -A INPUT -p icmp --icmp-type 12 -m limit --limit 1/s -j ACCEPT
    #-----------------------------------------------------------------------------
    # Negar Ident
    $IPTABLES -A INPUT -p tcp -m tcp --dport 113 -j REJECT --reject-with tcp-reset
    #-----------------------------------------------------------------------------
    # Reset em conexoes para portas desconhecidas
    $IPTABLES -A INPUT -p tcp -j REJECT --reject-with tcp-reset
    #-----------------------------------------------------------------------------
  ;;
  stop)
    exit 0
  ;;
  *)
    echo "Use: ./rc.firewall {start|stop}"
  ;;
esac