• цитировать:

• цитировать:

Code:



 
#!/bin/sh
IPTABLES="/sbin/iptables"
INET_IFACE="eth0"
# Иногда xen при ручно перезагрузке гостевого домена даёт лувые именя интерфейсов - предусматриваем.
#if [ $# == 1 ]; then
#       LAN_IFACE="$1";
#       else
#       LAN_IFACE="vif1.0";
#fi
#LAN_IP=`ifconfig $LAN_IFACE |grep 'inet addr:'| sed 's/addr://' |awk '{print $2}'`
#LAN_NET="192.168.1.0/24"
INET_IP=`ifconfig $INET_IFACE |grep 'inet addr:'| sed 's/addr://' |awk '{print $2}'`

# Себе доверяем, остальных проверяем.
$IPTABLES -P INPUT DROP
$IPTABLES -P OUTPUT ACCEPT
$IPTABLES -P FORWARD DROP

# Сброс правил
$IPTABLES -F INPUT
$IPTABLES -F OUTPUT
$IPTABLES -F FORWARD
$IPTABLES -F

# Удаление кастомных цепочек
$IPTABLES -t filter -X
$IPTABLES -t nat -X
$IPTABLES -X

# Дропаем "весёлые" пакеты.
$IPTABLES -A INPUT -m conntrack --ctstate INVALID -j DROP
$IPTABLES -A FORWARD -m conntrack --ctstate INVALID -j DROP
$IPTABLES -A OUTPUT -m conntrack --ctstate INVALID -j DROP

# Пакеты установленного соединения оставляем на совести софта, который их получает.
$IPTABLES -A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
$IPTABLES -A OUTPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
$IPTABLES -A FORWARD -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT

# По два логина за 10 секунд с китайских и русских прокси - зло. Попросим ботов добавить нас в список тормозных серверов. Главное самому не зайти на сервак более двух раз за 2 минуты.
$IPTABLES -N SSH_RECENT
$IPTABLES -A INPUT -m state --state NEW -p tcp --dport 22 -j SSH_RECENT
$IPTABLES -A SSH_RECENT -m recent --set --name SSH
$IPTABLES -A SSH_RECENT -m recent --update --seconds 120 --hitcount 3 --name SSH -j DROP
$IPTABLES -A SSH_RECENT -j ACCEPT

# Локалхост локалхосту друг товарищ и брат.
$IPTABLES -A INPUT -i lo -d 127.0.0.0/8 -j ACCEPT

# Нат, разрешение пакетам выдадим позже. Пока в FORWARD с маскировкой источника.
#$IPTABLES -t nat -A POSTROUTING -s $LAN_NET -j SNAT --to-source $INET_IP

# XEN домену мы тоже верим. Пускай балуется.
#$IPTABLES -A FORWARD -p all -i $LAN_IFACE -o $INET_IFACE -j ACCEPT

# Почта и подобные радости
$IPTABLES -A INPUT -p tcp --dport 110 -j ACCEPT
$IPTABLES -A INPUT -p tcp --dport 143 -j ACCEPT
$IPTABLES -A INPUT -p tcp --dport 995 -j ACCEPT
$IPTABLES -A INPUT -p tcp --dport 25 -j ACCEPT
$IPTABLES -A INPUT -p tcp --dport 80 -j ACCEPT
$IPTABLES -A INPUT -p tcp --dport 443 -j ACCEPT

# mySQL у нас один, гостевому домену надо с ним общаться
#$IPTABLES -A INPUT -p tcp -s $LAN_NET --dport 3306 -j ACCEPT

# Разрешаем ftp доступ (passive, since active sucks by design)
$IPTABLES -A INPUT -p tcp --dport 21 -j ACCEPT
$IPTABLES -A INPUT -p tcp --dport 60000:62000 -j ACCEPT

# Прокидываем фтп гостувому домену
#$IPTABLES -A PREROUTING -t nat -i eth0 -p tcp --dport 221 -j DNAT --to-destination 192.168.1.101
#$IPTABLES -A FORWARD -i eth0 -p tcp --dport 221 -j LOG --log-prefix "FTPFWD:"
#$IPTABLES -A FORWARD -i eth0 -p tcp --dport 221 -j ACCEPT
#$IPTABLES -A PREROUTING -t nat -i eth0 -p tcp --dport 6000:7000 -j DNAT --to-destination 192.168.1.101
#$IPTABLES -A FORWARD -i eth0 -p tcp --dport 6000:7000 -j LOG --log-prefix "FTPFWD:"
#$IPTABLES -A FORWARD -i eth0 -p tcp --dport 6000:7000 -j ACCEPT
 

Code:



 caption         always  "%{= bw} %-Lw%{+b wK}%L>   %n%f %t   %{-}%+Lw %-35=%{= kw} %D %d.%m.%Y %0c %=[%H]%<" 

Code:



 if [ $TERM = 'screen' ] ; then
PROMPT_COMMAND='echo -ne "\033k\033\\"'
fi