Ubuntu-fr

#!/bin/sh
#
# Script de démarrage qui lance l'interface réseau internet
interfaceWWW="eth0"
interfaceVPN="tun0"
localIP="192.168.0.5"
network="192.168.0.0/24"
# Rappel IPTables .
#
#           /----------\         /-------\         /-----------\
# IN--->---< PREROUTING >--->---< FORWARD >--->---< POSTROUTING >--->--OUT
#           \----------/         \-------/         \-----------/
#              \                                            /
#               \                                          /
#             /-----\         /-------------\         /------\
#            < INPUT >--->---< LOCAL PROCESS >--->---< OUTPUT >
#             \-----/         \-------------/         \------/

 start() {

# Dans cette partie, on met en place le firewall
#vidage des chaines
iptables -F
iptables -X
#destruction des chaines personnelles
#stratégies par défaut
iptables -P INPUT DROP
iptables -P OUTPUT DROP
iptables -P FORWARD DROP

# tout ouvert sur loopback
iptables -A INPUT -i lo -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT 

## On drop les scans XMAS et NULL.
iptables -A INPUT -p tcp --tcp-flags FIN,URG,PSH FIN,URG,PSH -j DROP      
iptables -A INPUT -p tcp --tcp-flags ALL ALL -j DROP       
iptables -A INPUT -p tcp --tcp-flags ALL NONE -j DROP        
iptables -A INPUT -p tcp --tcp-flags SYN,RST SYN,RST -j DROP 

## Dropper silencieusement tous les paquets broadcastés.
iptables -A INPUT -m pkttype --pkt-type broadcast -j DROP

#on accepte tout le reseau local :)
iptables -A INPUT -s $network -j ACCEPT
iptables -A OUTPUT -d $network -j ACCEPT
iptables -A FORWARD -s $network -j ACCEPT 

#on autorise toutes les connexions déja etablies
iptables -A OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

#on autorise les connexions sortantes vers les ports UDP sur interfaceWWW pour initialiser les connexions VPN openvpn (voir /etc/openvpn/openvpn.conf)
iptables -A OUTPUT -p UDP -m multiport --dports 7001,7002,7003,7004 -m state --state NEW -o $interfaceWWW -j ACCEPT

#on accepte ping sortants
iptables -A OUTPUT -p icmp -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT

#on autorise les connexions sortantes sur le VPN
iptables -A OUTPUT -m state --state NEW -o $interfaceVPN -j ACCEPT
#on ouvre le port 1250 sur la connexion VPN pour accepter torrent que j'ai mis sur 1250 (transmission)
iptables -A INPUT -p TCP --dport 1250 -m state --state NEW -i $interfaceVPN -j ACCEPT


#on autorise les connexions sortantes vers le https sur interface WWW
iptables -A OUTPUT -p TCP --dport 443 -m state --state NEW -o $interfaceWWW -j ACCEPT
#on autorise les connexions sortantes vers le DNS sur interface WWW
iptables -A OUTPUT -p UDP --dport 53 -m state --state NEW -o $interfaceWWW -j ACCEPT


echo 0 > /proc/sys/net/ipv4/conf/all/rp_filter
echo 0 > /proc/sys/net/ipv4/conf/$interfaceWWW/rp_filter
ip rule add fwmark 0x1 table connection

#on fait passer les connections HTTPs sur la connection internet standard
iptables -t mangle -A OUTPUT -p TCP --dport 443 -j MARK --set-mark 0x1
iptables -t nat -A POSTROUTING -o $interfaceWWW -p TCP --dport 443 -j SNAT --to $localIP

}
  
 stop() {

     iptables -P INPUT ACCEPT
     iptables -P FORWARD ACCEPT
     iptables -P OUTPUT ACCEPT
     iptables -F
 }
  
 case "$1" in
  start)
         start
         ;;
  
 stop)
         stop
         ;;
 restart)
         stop && start
         ;;
 *)
         echo "Usage $0 {start|stop|restart}"
         exit 1
 esac
  
 exit 0

cat /etc/network/if-up.d/parefeu
#!/bin/sh
#
set -e
if [ "$IFACE" = eth0 ]; then

/sbin/ip route add 192.168.0.0/24 dev eth0 src 192.168.0.5 table connection
/sbin/ip route add default via 192.168.0.254 table connection
/sbin/ip rule add from 192.168.0.5 table connection

fi

cat /etc/network/if-down.d/parefeu
#!/bin/sh
#
set -e
if [ "$IFACE" = eth0 ]; then

/sbin/ip route del 192.168.0.0/24 dev eth0 src 192.168.0.5 table connection
/sbin/ip route del default via 192.168.0.254 table connection
/sbin/ip rule del from 192.168.0.5 table connection

fi

cat /etc/iproute2/rt_tables
#
# reserved values
#
255	local
254	main
253	default
0	unspec
#
# local
#
#1	inr.ruhep
1     connection