[보안] iptables 예제 -2
#!/bin/sh
# http://woogi.org
# 이 설정은 김정균님의 iptables 의 내용을 기초로 하여 작성된 것입니다.
# iptables Path
iptables=/sbin/iptables
# 모듈 올리기
modprobe iptable_filter
#/sbin/depmod -a
#/sbin/insmod ip_tables
#/sbin/insmod ip_conntrack
#/sbin/insmod ip_conntrack_ftp
#/sbin/insmod iptable_nat
#/sbin/insmod ip_nat_ftp
# SERVER IP 받아오기.
HOST_IP=”`/sbin/ifconfig eth0 | grep ‘inet addr’ | awk ‘{print $2}’ | sed \\
-e ‘s/.*://’`”
NETMASK=”`/sbin/ifconfig eth0 | grep ‘inet addr’ | awk ‘{print $4}’ | cut -d : \\
-f 2`”
# INPUT Rules 설정
$iptables -Z INPUT
$iptables -P INPUT ACCEPT
$iptables -F INPUT
$iptables -A INPUT -i lo -j ACCEPT
$iptables -A INPUT -s $HOST_IP/$NETMASK -j ACCEPT
# 알 수 없는 패킷 즉, NETWORK 상태가 INVALID 인 패킷들을 막아 버린다.
# 정상적인 접근에서는 나올 수 없는 상태이다.
$iptables -A INPUT -m state –state INVALID -j DROP
$iptables -A OUTPUT -m state –state INVALID -j DROP
# Nimda, CodeRed 등의 바이러스 문자열 차단.
#$iptables -A INPUT -p tcp –tcp-flags ACK ACK –dport 80 -m string \\
–string “/default.ida?” -j REJECT –reject-with tcp-reset
#$iptables -A INPUT -p tcp –tcp-flags ACK ACK –dport 80 -m string \\
–string “XXXXXXXX” -j REJECT –reject-with tcp-reset
#$iptables -A INPUT -p tcp –tcp-flags ACK ACK –dport 80 -m string \\
–string “cmd.exe” -j REJECT –reject-with tcp-reset
#$iptables -A INPUT -p tcp –tcp-flags ACK ACK –dport 80 -m string \\
–string “root.exe?” -j REJECT –reject-with tcp-reset
# 외부 서비스를 위한 설정. / TCP service
#$iptables -A INPUT -p tcp –sport 20 -m state –state ESTABLISHED,RELATED -j \\
ACCEPT
#$iptables -A INPUT -i eth0 -p tcp –sport 1024:65535 –dport 1024:65535 -m state \\
–state ESTABLISHED -j ACCEPT
#$iptables -A INPUT -p tcp –sport 21 -m state –state ESTABLISHED -j ACCEPT
#$iptables -A INPUT -p tcp –sport 22 -m state –state ESTABLISHED -j ACCEPT
#$iptables -A INPUT -p tcp –sport 23 -m state –state ESTABLISHED -j ACCEPT
#$iptables -A INPUT -p tcp –sport 25 -m state –state ESTABLISHED -j ACCEPT
#$iptables -A INPUT -p tcp –sport 80 -m state –state ESTABLISHED -j ACCEPT
#$iptables -A INPUT -p tcp –sport 110 -m state –state ESTABLISHED -j ACCEPT
#$iptables -A INPUT -p tcp –sport 143 -m state –state ESTABLISHED -j ACCEPT
#$iptables -A INPUT -p tcp –sport 443 -m state –state ESTABLISHED -j ACCEPT
#$iptables -A INPUT -p tcp –sport 873 -m state –state ESTABLISHED -j ACCEPT
#$iptables -A INPUT -p tcp –sport 2401 -m state –state ESTABLISHED -j ACCEPT
#
# 외부 서비스를 위한 설정. / udp service
$iptables -A INPUT -p udp –sport 53 -m state –state ESTABLISHED -j ACCEPT
# 위의 설정은 내부에서 외부의 서비스를 이용할수 있도록 하기 위한 설정이
# 다. ftp 와 같이 특수한 경우를 제외하고는 ESTABLISHED 만 있으면 외부의
# 서비스를 이용하는데 지장이없다. ftp의 경우에는 active mode 와 passive
# mode 처리를 모두 해 줘야 한다. 마지막의 Name Service Config 는 일반적
# 으로 네트워크에 연결이 되어 있는 서버들의 경우에는 모두 자신이 아니더
# 라도 외부의 name 질의를 해야 하므로 강제적으로 열리게 해 놓은 것이다.
# TCP service
$iptables -A INPUT -p tcp –dport 20 -m state –state NEW,ESTABLISHED -j ACCEPT
$iptables -A INPUT -p tcp –dport 20 -m state –state ESTABLISHED -j ACCEPT
$iptables -A INPUT -i eth0 -p tcp –sport 1024:65535 –dport 1024:65535 -m state \\
–state ESTABLISHED,RELATED -j ACCEPT
$iptables -A INPUT -p tcp –dport 21 -m state –state NEW,ESTABLISHED -j ACCEPT
$iptables -A INPUT -p tcp –dport 22 -m state –state NEW,ESTABLISHED -j ACCEPT
$iptables -A INPUT -p tcp –dport 23 -m state –state NEW,ESTABLISHED -j ACCEPT
$iptables -A INPUT -p tcp –dport 25 -m state –state NEW,ESTABLISHED -j ACCEPT
$iptables -A INPUT -p tcp –dport 80 -m state –state NEW,ESTABLISHED -j ACCEPT
$iptables -A INPUT -p tcp –dport 110 -m state –state NEW,ESTABLISHED -j ACCEPT
$iptables -A INPUT -p tcp –dport 113 -m state –state NEW,ESTABLISHED -j ACCEPT
$iptables -A INPUT -p tcp –dport 3306 -m state –state NEW,ESTABLISHED -j ACCEPT
# ip 대역 예제.
#$iptables -A INPUT -s 211.0.0.0/8 -p tcp –dport 23 -m state –state \\
NEW,ESTABLISHED -j ACCEPT
#$iptables -A INPUT -s 210.0.0.0/8 -p tcp –dport 23 -m state –state \\
NEW,ESTABLISHED -j ACCEPT
#$iptables -A INPUT -s 211.0.0.0/8 -p tcp –dport 993 -m state –state \\
NEW,ESTABLISHED -j ACCEPT
# UDP service
$iptables -A INPUT -p udp –dport 53 -m state –state NEW,ESTABLISHED -j ACCEPT
# ICMP service
$iptables -A INPUT -s 211.0.0.0/8 -p icmp –icmp-type echo-request -j ACCEPT
$iptables -A INPUT -s 210.0.0.0/8 -p icmp –icmp-type echo-request -j ACCEPT
# 서버로 들어오는 SYN packet 을 모두 거절한다.
$iptables -A INPUT -p tcp –syn -j REJECT
# Drop All packet
$iptables -A INPUT -p tcp –dport 1:1023 -j DROP
$iptables -A INPUT -p udp –dport 1:1023 -j DROP
$iptables -A INPUT -p icmp –icmp-type echo-request -j REJECT
# OUTPUT SERVICE
#$IPTABLES -Z OUTPUT
$IPTABLES -P OUTPUT ACCEPT
$IPTABLES -F OUTPUT
$IPTABLES -A OUTPUT -o eth0 -p tcp –dport 20 -m state –state NEW,ESTABLISHED -j \\
DROP
$IPTABLES -A OUTPUT -o eth0 -p tcp –dport 21 -m state –state NEW,ESTABLISHED -j \\
DROP
$IPTABLES -A OUTPUT -o eth0 -p tcp –dport 23 -m state –state NEW,ESTABLISHED -j \\
DROP
# 각종 서비스들에 대해 최대의 성능을 발휘할 수 있도록 TOS 설정을 한다.
#$iptables -t mangle -A OUTPUT -p tcp -s 0/0 –sport 80 -j TOS –set-tos 0x10
#$iptables -t mangle -A OUTPUT -p tcp -d 0/0 –dport 21 -j TOS –set-tos 0x10
#$iptables -t mangle -A OUTPUT -p tcp -d 0/0 –dport 22 -j TOS –set-tos 0x10
#$iptables -t mangle -A OUTPUT -p tcp -d 0/0 –dport 23 -j TOS –set-tos 0x10
#$iptables -t mangle -A OUTPUT -p tcp -s 0/0 –sport 20 -j TOS –set-tos 0x08
