# Firewall by Stizz
# Comments by Manuel Vogel aka Fr33man

##################
# Damit das ganze überhaupt funktionieren kann muss man das IP-Forwarding im Kernel erst einmal einschalten: (Debian Lenny)
#       echo "1" > /proc/sys/net/ipv4/ip_forward
#

## Hier werden die Ketten und Tabellen erstmal geleert
# Alle Ketten "Flushen" (leerspülen) 
iptables -F

# Tabelle 'nat' "Flushen"
iptables -t nat -F

# Evtl vorhandene eigene Ketten löschen
iptables -X

# Die IN-OUT-FORWARD Ketten auf "Alles Verweigern" stellen. Damit auch nur das Durchkommt, 
# was weiter unten explizit Freigeschalten wurde.
iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT DROP

# Dem Localhost die Komunikation wieder Erlauben
iptables -A INPUT -i lo -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT

# Allen am eth0 (also Netzintern) den Zugriff auf diese Maschine gewähren. 
# Wichtig für Serverdienste wie den Apachen, DNS, BIND... die auch auf dieser Maschine laufen werden.
# Die IP auf euren, Netzintern verwendeten IP-Bereich ändern.
iptables -A INPUT -i eth0 -s 10.0.0.0/8 -j ACCEPT
iptables -A OUTPUT -o eth0 -d 10.0.0.0/8 -j ACCEPT

# Verbindungen dieser Maschine ins I-net an eth1 gewähren. Damit diese Maschine selbst eine Verbindung nach draußen aufbauen kann
iptables -A OUTPUT -o eth1 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -i eth1 -m state --state ESTABLISHED,RELATED -j ACCEPT

## Team Traffic
# Das Orga-Team, welches einen eigenen IP-Bereich hat, dauerhaften Zugriff auf I-net gewähren
iptables -A FORWARD -o eth1 -s 10.10.10.0/24 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
iptables -A FORWARD -i eth1 -d 10.10.10.0/24 -m state --state ESTABLISHED,RELATED -j ACCEPT

# Für den Fall, dass das Team den selben IP-Bereich hat, kann man für jeden einzeln auch den Zugriff freischalten:
#  user1:   iptables -A FORWARD -o eth1 -s 10.10.10.2 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
#           iptables -A FORWARD -i eth1 -d 10.10.10.2 -m state --state ESTABLISHED,RELATED -j ACCEPT

#  user2:   iptables -A FORWARD -o eth1 -s 10.10.10.3 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
#           iptables -A FORWARD -i eth1 -d 10.10.10.3 -m state --state ESTABLISHED,RELATED -j ACCEPT

#  user3:   iptables -A FORWARD -o eth1 -s 10.10.10.4 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
#           iptables -A FORWARD -i eth1 -d 10.10.10.4 -m state --state ESTABLISHED,RELATED -j ACCEPT
#  usw


????
# temp allow
iptables -A FORWARD -o eth1 -m state --state NEW,RELATED,ESTABLISHED -m recent --rcheck --name access --seconds 600 -j ACCEPT
iptables -A FORWARD -i eth1 -m state --state ESTABLISHED,RELATED -m recent --rcheck --rdest --name access --seconds 600 -j ACCEPT

# port knocking
iptables -A FORWARD -i eth0 -p tcp -d 1.2.3.4 --dport 23 -m recent --set --name access -j ACCEPT

????

## masquerade & transparent proxy
# NAT Konfigurieren; Damit netzinterne Anfragen auf die externe IP umgebogen werden können
# ???? Der 2. Befehl ist dafür da, den Port 80 abzufangen und auf diese Maschine Umzuleiten ????
iptables -t nat -A POSTROUTING -o eth1 -s 10.0.0.0/8 -j MASQUERADE
iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 80 -j REDIRECT --to-port 80

I-Net Router - 192.168.0.1
   |
Debian |eth1 - 192.168.0.123
       |eth0 - 10.10.0.1
   |
Laptop - 10.10.0.6

# Generated by iptables-save v1.4.2 on Thu Dec 10 18:27:01 2009
*nat
: PREROUTING ACCEPT [244:14817]
: POSTROUTING ACCEPT [1:70]
: OUTPUT ACCEPT [3:158]
-A PREROUTING -i eth0 -p tcp -m tcp --dport 80 -j REDIRECT --to-ports 80
-A POSTROUTING -s 10.10.0.0/24 -o eth1 -j MASQUERADE
COMMIT
# Completed on Thu Dec 10 18:27:01 2009
# Generated by iptables-save v1.4.2 on Thu Dec 10 18:27:01 2009
*filter
: INPUT DROP [3:309]
: FORWARD DROP [42:2480]
: OUTPUT DROP [0:0]
-A INPUT -i lo -j ACCEPT
-A INPUT -s 10.10.0.0/24 -i eth0 -j ACCEPT
-A INPUT -i eth1 -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -s 10.10.0.5/32 -o eth1 -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -d 10.10.0.5/32 -i eth1 -m state --state RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -o eth1 -m state --state NEW,RELATED,ESTABLISHED -m recent --rcheck --seconds 600 --name access --rsource -j ACCEPT
-A FORWARD -i eth1 -m state --state RELATED,ESTABLISHED -m recent --rcheck --seconds 600 --name access --rdest -j ACCEPT
-A FORWARD -d 192.168.0.1/32 -i eth0 -p tcp --dport 23 -m recent --set --name access -j ACCEPT
-A OUTPUT -o lo -j ACCEPT
-A OUTPUT -d 10.10.0.0/24 -o eth0 -j ACCEPT
-A OUTPUT -o eth1 -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT
COMMIT
# Completed on Thu Dec 10 18:27:01 2009