Linux - Script de Firewall - IPTables

### Criacao de Variaveis ###
iptables=/sbin/iptables
IF_EXTERNA=ppp0  ### -> placa de rede externa -> q tem ligação com modem internet
IF_INTERNA=eth0  ### -> placa de rede interna -> q tem ligação com a rede
IP_EXTERNO= ### -> IP EXTERNO
IP_WINTS= ### IP SERVIDOR WINDOWS TERMINAL SERVER  -  NO MEU CASO EU TENHO Q FAZER UM ROTEAMENTO PARA UM SERVIDOR DO WINDOWS TERMINAL SERVER 2003 ESSE EH IP INTERNO DE MINHA REDE


### Ativa Modulos ###
/sbin/modprobe iptable_nat
/sbin/modprobe ip_conntrack
/sbin/modprobe ip_conntrack_ftp
/sbin/modprobe ip_nat_ftp
/sbin/modprobe ipt_LOG
/sbin/modprobe ipt_REJECT
/sbin/modprobe ipt_MASQUERADE
/sbin/modprobe iptable_mangle
/sbin/modprobe iptable_filter
/sbin/modprobe ipt_multiport

#Ativa Roteamento no Kernel
echo "1" > /proc/sys/net/ipv4/ip_forward

#Ativa Protecao contra IP spoofing
echo "1" > /proc/sys/net/ipv4/conf/all/rp_filter

#Limpa as Regras
$iptables -F
$iptables -X
$iptables -F -t nat
$iptables -X -t nat
$iptables -F -t mangle
$iptables -X -t mangle

#Politicas Padrao
$iptables -P INPUT   DROP
$iptables -P OUTPUT  ACCEPT
$iptables -P FORWARD DROP


#Ativa Mascaramento na Saida
$iptables -t nat -A POSTROUTING -o $IF_EXTERNA -j MASQUERADE

###  Fim de Configuracoes de Inicializacao  ###



#Nega Pacotes TCP indesejaveis
$iptables -A FORWARD -p tcp ! --syn -m state --state NEW -j LOG --log-level 6 --log-prefix "FIREWALL(NEW sem syn): "  
$iptables -A FORWARD -p tcp ! --syn -m state --state NEW -j DROP

#Aceita Pacotes Permitido a Entrada
$iptables -A INPUT -i ! $IF_EXTERNA -j ACCEPT
$iptables -A INPUT   -m state --state ESTABLISHED,RELATED     -j ACCEPT
$iptables -A OUTPUT  -m state --state ESTABLISHED,RELATED,NEW -j ACCEPT
$iptables -A FORWARD -m state --state ESTABLISHED,RELATED,NEW -j ACCEPT
$iptables -A INPUT -p ICMP -i $IF_EXTERNA -j ACCEPT



### Ativando Protecoes Contra Ataques ###

# 1 - Protecao contra Trinoo
$iptables -N TRINOO
$iptables -A TRINOO -m limit --limit 15/m -j LOG --log-level 6 --log-prefix "FIREWALL(Prot. Trinoo): "
$iptables -A TRINOO -j DROP
$iptables -A INPUT -p tcp -i $IF_EXTERNA --dport 27444 -j TRINOO
$iptables -A INPUT -p tcp -i $IF_EXTERNA --dport 27665 -j TRINOO
$iptables -A INPUT -p tcp -i $IF_EXTERNA --dport 31335 -j TRINOO
$iptables -A INPUT -p tcp -i $IF_EXTERNA --dport 34555 -j TRINOO
$iptables -A INPUT -p tcp -i $IF_EXTERNA --dport 35555 -j TRINOO

# 2 - Protecao contra Trojans
$iptables -N TROJAN
$iptables -A TROJAN -m limit --limit 15/m -j LOG --log-level 6 --log-prefix "FIREWALL(Prot. Trojan): "
$iptables -A TROJAN -j DROP
$iptables -A INPUT -p tcp -i $IF_EXTERNA --dport 666   -j TROJAN
$iptables -A INPUT -p tcp -i $IF_EXTERNA --dport 666   -j TROJAN
$iptables -A INPUT -p tcp -i $IF_EXTERNA --dport 4000  -j TROJAN
$iptables -A INPUT -p tcp -i $IF_EXTERNA --dport 6000  -j TROJAN
$iptables -A INPUT -p tcp -i $IF_EXTERNA --dport 6006  -j TROJAN
$iptables -A INPUT -p tcp -i $IF_EXTERNA --dport 16660 -j TROJAN

# 3 - Protecao contra Worms
$iptables -A FORWARD -p tcp --dport 135 -i $IF_INTERNA -j REJECT

# 4 - Protecao contra Syn-Flood
$iptables -A FORWARD -p tcp --syn -m limit --limit 2/s -j ACCEPT

# 5 - Protecao contra Ping da Morte
$iptables -A FORWARD -p icmp --icmp-type echo-request -m limit --limit 1/s -j ACCEPT

# 6 - Protecao contra Port Scanners
$iptables -N SCANNER
$iptables -A SCANNER -m limit --limit 15/m -j LOG --log-level 6 --log-prefix "FIREWALL(Port Scanner): "
$iptables -A SCANNER -j DROP
$iptables -A INPUT -p tcp --tcp-flags ALL FIN,URG,PSH         -i $IF_EXTERNA -j SCANNER
$iptables -A INPUT -p tcp --tcp-flags ALL NONE                -i $IF_EXTERNA -j SCANNER
$iptables -A INPUT -p tcp --tcp-flags ALL ALL                 -i $IF_EXTERNA -j SCANNER
$iptables -A INPUT -p tcp --tcp-flags ALL FIN,SYN             -i $IF_EXTERNA -j SCANNER
$iptables -A INPUT -p tcp --tcp-flags ALL SYN,RST,ACK,FIN,URG -i $IF_EXTERNA -j SCANNER
$iptables -A INPUT -p tcp --tcp-flags SYN,RST SYN,RST         -i $IF_EXTERNA -j SCANNER
$iptables -A INPUT -p tcp --tcp-flags SYN,FIN SYN,FIN         -i $IF_EXTERNA -j SCANNER  


### Fim de Regras de Protecao ###


### Log de Conexao nas Portas Liberadas ###
$iptables -A INPUT -p tcp --dport 22   -i $IF_EXTERNA -j LOG --log-level 6 --log-prefix "FIREWALL(SSH): "
$iptables -A INPUT -p tcp --dport 3389 -i $IF_EXTERNA -j LOG --log-level 6 --log-prefix "FIREWALL(WINDOWS TS): "



### Fim Log Conexao nas Portas Liberadas ###


### Ativando Portas para Conexoes ###


# Liberando Windows Terminal Server #


# Ativando o Encaminhamento de Pacotes
$iptables -A FORWARD -p tcp -d $IP_WINTS --dport 3389 -j ACCEPT
$iptables -A FORWARD -p tcp -s $IP_WINTS --sport 3389 -j ACCEPT

# Ativando o Roteamento de Pacotes
$iptables -A PREROUTING -t nat -i $IF_EXTERNA -d $IP_EXTERNO -p tcp --dport 3389 -j DNAT --to $IP_WINTS:3389


# Fim de Liberacao Windows Terminal Server #


#Liberando portas
$iptables -A INPUT -p tcp --dport 22 -j ACCEPT

#Liberando Navegacao Interna
$iptables -A INPUT -i $IF_INTERNA -j ACCEPT


### Fim de Ativacao de Portas para Conexoes ###

echo "FIREWALL CARREGADO COM SUCESSO"