slackware-10.1 下 adsl 拨号上网的 iptables 防火墙设置

kuafoo

因为家里的机器是使用adls拨号上网，为了防止家伙们对我的机器作端口扫描，因此设置好防火墙显得比较重要起来。
      我尝试了普通方式来设置iptables,发现一般的设置方法并不能很好的满足我的需要，主要是因为ppp的联结建立在放火墙脚本运行（通过手工编写/etc/rc.d/rc.firewall）后。觉得更好的的方法是用rp-pppoe来调用你的防火墙设置，因为rp-pppoe的配置文件（/etc/ppp/pppoe.conf）中有一个选项，具体可以参考slackware下面/etc/ppp目录下的两个放火墙设置脚本，虽然是针对ipchains写的，但可以换成iptabes改写。在ppp建立后，iptables的规则就可以生效了。


在 /etc/ppp目录下有两个脚本firewall-masq和firewall-standalone，对应于/etc/ppp/pppoe.conf中的两个选项 FIREWALL=MASQUERADE 或 FIREWALL= STANDALONE 这两个脚本都是基于ipchains的，
通过 /usr/sbn/adsl-connect 脚本调用（被adsl-start间接调用）。

下面是一个我写的一个基本的/etc/rc.d/rc.firewall示例

1. #!/bin/sh
   
2. # Start/stop/restart the firewall ($IPT)
   
3. 
   
4. IPT="/usr/sbin/iptables"
   
5. 
   
6. # Start firewall:
   
7. firewall_start() {
   
8.   $IPT -P INPUT DROP
   
9.   $IPT -P FORWARD DROP
   
10. 
    
11.   $IPT -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
    
12.   $IPT -A INPUT -s 127.0.0.0/8 -d 127.0.0.0/8 -i lo -j ACCEPT
    
13. 
    
14. # SSHD
    
15.   $IPT -A INPUT -p tcp --dport 22 -i ppp0 -j ACCEPT
    
16. 
    
17. # Bittorrent
    
18.   $IPT -A INPUT -p tcp --dport 6881:6889 -i ppp0 -j ACCEPT
    
19. 
    
20. # BitTornado
    
21.   $IPT -A INPUT -p tcp --dport 10000:60000 -i ppp0 -j ACCEPT
    
22. 
    
23.   $IPT -A INPUT -p icmp -j ACCEPT
    
24. }
    
25. 
    
26. # Stop firewall:
    
27. firewall_stop() {
    
28.   $IPT -P INPUT ACCEPT
    
29.   $IPT -P FORWARD ACCEPT
    
30.   $IPT -F
    
31.   $IPT -X
    
32. }
    
33. 
    
34. # Restart firewall:
    
35. firewall_restart() {
    
36.   firewall_stop
    
37.   sleep 1
    
38.   firewall_start
    
39. }
    
40. 
    
41. case "$1" in
    
42. 'start')
    
43.   firewall_start
    
44.   ;;
    
45. 'stop')
    
46.   firewall_stop
    
47.   ;;
    
48. 'restart')
    
49.   firewall_restart
    
50.   ;;
    
51. *)
    
52.   echo "usage $0 start|stop|restart"
    
53. esac
    
54. 
    
55. 下面是用adsl-connect调用的改写后的/etc/ppp/firewall-standalone
    
56. #!/bin/sh
    
57. # Start the firewall ($IPT)
    
58. 
    
59. IPT="/usr/sbin/iptables"
    
60. 
    
61. $IPT -P INPUT DROP
    
62. $IPT -P FORWARD DROP
    
63. 
    
64. $IPT -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
    
65. $IPT -A INPUT -s 127.0.0.0/8 -d 127.0.0.0/8 -i lo -j ACCEPT
    
66. 
    
67. # SSHD
    
68. $IPT -A INPUT -p tcp --dport 22 -i ppp0 -j ACCEPT
    
69. 
    
70. # Bittorrent
    
71. $IPT -A INPUT -p tcp --dport 6881:6889 -i ppp0 -j ACCEPT
    
72. 
    
73. # BitTornado
    
74. $IPT -A INPUT -p tcp --dport 10000:60000 -i ppp0 -j ACCEPT
    
75. 
    
76. $IPT -A INPUT -p icmp -j ACCEPT

复制代码

两种方法都可以对ppp0建立规则，但区别在ppp0连接前建立和连接后建立，那种更好，我也不知道:-P

北南南北

兄弟能否把防火墙的脚本分享一下？

谢谢。。。

北南 呈上

kuafoo

在 /etc/ppp目录下有两个脚本firewall-masq和firewall-standalone，对应于/etc/ppp/pppoe.conf中的两个选项 FIREWALL=MASQUERADE 或 FIREWALL= STANDALONE 这两个脚本都是基于ipchains的，
通过 /usr/sbn/adsl-connect 脚本调用（被adsl-start间接调用）。

下面是一个我写的一个基本的/etc/rc.d/rc.firewall示例

1. #!/bin/sh
   
2. # Start/stop/restart the firewall ($IPT)
   
3. 
   
4. IPT="/usr/sbin/iptables"
   
5. 
   
6. # Start firewall:
   
7. firewall_start() {
   
8.   $IPT -P INPUT DROP
   
9.   $IPT -P FORWARD DROP
   
10. 
    
11.   $IPT -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
    
12.   $IPT -A INPUT -s 127.0.0.0/8 -d 127.0.0.0/8 -i lo -j ACCEPT
    
13. 
    
14. # SSHD
    
15.   $IPT -A INPUT -p tcp --dport 22 -i ppp0 -j ACCEPT
    
16. 
    
17. # Bittorrent
    
18.   $IPT -A INPUT -p tcp --dport 6881:6889 -i ppp0 -j ACCEPT
    
19. 
    
20. # BitTornado
    
21.   $IPT -A INPUT -p tcp --dport 10000:60000 -i ppp0 -j ACCEPT
    
22. 
    
23.   $IPT -A INPUT -p icmp -j ACCEPT
    
24. }
    
25. 
    
26. # Stop firewall:
    
27. firewall_stop() {
    
28.   $IPT -P INPUT ACCEPT
    
29.   $IPT -P FORWARD ACCEPT
    
30.   $IPT -F
    
31.   $IPT -X
    
32. }
    
33. 
    
34. # Restart firewall:
    
35. firewall_restart() {
    
36.   firewall_stop
    
37.   sleep 1
    
38.   firewall_start
    
39. }
    
40. 
    
41. case "$1" in
    
42. 'start')
    
43.   firewall_start
    
44.   ;;
    
45. 'stop')
    
46.   firewall_stop
    
47.   ;;
    
48. 'restart')
    
49.   firewall_restart
    
50.   ;;
    
51. *)
    
52.   echo "usage $0 start|stop|restart"
    
53. esac
    
54. 
    
55. 下面是用adsl-connect调用的改写后的/etc/ppp/firewall-standalone
    
56. #!/bin/sh
    
57. # Start the firewall ($IPT)
    
58. 
    
59. IPT="/usr/sbin/iptables"
    
60. 
    
61. $IPT -P INPUT DROP
    
62. $IPT -P FORWARD DROP
    
63. 
    
64. $IPT -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
    
65. $IPT -A INPUT -s 127.0.0.0/8 -d 127.0.0.0/8 -i lo -j ACCEPT
    
66. 
    
67. # SSHD
    
68. $IPT -A INPUT -p tcp --dport 22 -i ppp0 -j ACCEPT
    
69. 
    
70. # Bittorrent
    
71. $IPT -A INPUT -p tcp --dport 6881:6889 -i ppp0 -j ACCEPT
    
72. 
    
73. # BitTornado
    
74. $IPT -A INPUT -p tcp --dport 10000:60000 -i ppp0 -j ACCEPT
    
75. 
    
76. $IPT -A INPUT -p icmp -j ACCEPT

复制代码

两种方法都可以对ppp0建立规则，但区别在ppp0连接前建立和连接后建立，那种更好，我也不知道:-P

北南南北

谢谢。兄弟修正的，我已经在第一帖中已经改正了。

已经投入 http://slack.linuxsir.cn 中

辛苦了。。

北南 呈上