From f2040c16f24cdc5cccd7126df8023009bf1fab5d Mon Sep 17 00:00:00 2001 From: teastep Date: Sun, 7 Dec 2003 18:15:08 +0000 Subject: [PATCH] Minor Updates git-svn-id: https://shorewall.svn.sourceforge.net/svnroot/shorewall/trunk@808 fbd18981-670d-0410-9b5c-8dc0c1a9a2bb --- Shorewall-docs/myfiles.htm | 4 +++- 1 file changed, 3 insertions(+), 1 deletion(-) diff --git a/Shorewall-docs/myfiles.htm b/Shorewall-docs/myfiles.htm index 1c87c72c8..f7eda70d1 100644 --- a/Shorewall-docs/myfiles.htm +++ b/Shorewall-docs/myfiles.htm @@ -167,6 +167,8 @@ my Ethernet interfaces. 

#INTERFACQ	HOST(S)
eth1            206.124.146.177
eth2            -
eth3            192.168.3.0/24
#LAST LINE -- ADD YOUR ENTRIES ABOVE THIS ONE - DO NOT REMOVE
+

Blacklist File (Partial):

+
#ADDRESS/SUBNET         PROTOCOL        PORT
0.0.0.0/0               udp             1434
0.0.0.0/0               tcp             1433
0.0.0.0/0               tcp             8081
0.0.0.0/0               tcp             57
#LAST LINE -- ADD YOUR ENTRIES ABOVE THIS ONE - DO NOT REMOVE

Policy File:

#SOURCE		DESTINATION	POLICY		LOG LEVEL	BURST:LIMIT
me              loc             NONE		# 'me' and 'loc' are in the same network
me              all             ACCEPT		# Allow my workstation unlimited access
tx              me              ACCEPT		# Alow Texas access to my workstation
WiFi            loc             ACCEPT		# Allow the wireless new access
all             me              CONTINUE        # Use all->loc rules for my WS also
loc             net             ACCEPT		# Allow all net traffic from local net
$FW             loc             ACCEPT		# Allow local access from the firewall
$FW             tx              ACCEPT		# Allow firewall access to texas
loc             tx              ACCEPT		# Allow local net access to texas
loc             fw              REJECT          $LOG	# Reject loc->fw and log
WiFi            net             ACCEPT		# Allow internet access from wirless
net             all             DROP            $LOG            10/sec:40 # Rate limit and
									  # DROP net->dmz
all             all             REJECT          $LOG	# Reject and log the rest
#LAST LINE -- ADD YOUR ENTRIES ABOVE THIS ONE - DO NOT REMOVE
@@ -204,7 +206,7 @@ visitors with laptops.
#TARGET  SOURCE         DEST            PROTO   DEST    SOURCE     ORIGINAL     RATE
#                                               PORT    PORT(S)    DEST         LIMIT
ACCEPT   $MIRRORS			
#LAST LINE -- ADD YOUR ENTRIES BEFORE THIS ONE -- DO NOT REMOVE

Rules File (The shell variables are set in /etc/shorewall/params):

- 
################################################################################################################################################################
#RESULT         CLIENT(S)                       SERVER(S)               PROTO   PORT(S)                                 CLIENT          ORIGINAL DEST:SNAT
################################################################################################################################################################
# Local Network to Internet - Reject attempts by Trojans to call home
#
REJECT:$LOG     loc                             net                     tcp     6667
#
# Stop NETBIOS crap since our policy is ACCEPT
#
REJECT          loc                             net                     tcp     137,445
REJECT          loc                             net                     udp     137:139
################################################################################################################################################################
# Local Network to Firewall
#
DROP            loc:!192.168.1.0/24             fw
ACCEPT          loc                             fw                      tcp     ssh,time,10000,swat,137,139,445
ACCEPT          loc                             fw                      udp     snmp,ntp,445
ACCEPT          loc                             fw                      udp     137:139
ACCEPT          loc                             fw                      udp     1024:                                   137
################################################################################################################################################################
# Local Network to DMZ
#
ACCEPT          loc                             dmz                     udp     domain,xdmcp
ACCEPT          loc                             dmz                     tcp     www,smtp,domain,ssh,imap,https,imaps,cvspserver,ftp,10000,8080,pop3     -
################################################################################################################################################################
# Me to DMZ (This compensates for the broken RH kernel running in the DMZ -- that kernel's REJECT target is broken and Evolution requires a REJECT from smtps).
#
REJECT		me				dmz			tcp	465
################################################################################################################################################################
# Internet to DMZ
#
ACCEPT          net                             dmz                     tcp     smtp,www,ftp,imaps,domain,cvspserver,https   -
ACCEPT          net                             dmz                     udp     domain
Mirrors         net	                        dmz                     tcp     rsync
ACCEPT:$LOG     net                             dmz                     tcp     32768:61000                             20
DROP            net                             dmz                     tcp     1433
################################################################################################################################################################
#
# Net to Local
#
# When I'm "on the road", the following two rules allow me VPN access back home.
#
ACCEPT          net                             loc:192.168.1.5         tcp     1723
ACCEPT          net                             loc:192.168.1.5         gre
#
# ICQ
#
ACCEPT          net                             loc:192.168.1.5         tcp     4000:4100
#
# Real Audio
#
ACCEPT          net                             loc:192.168.1.5         udp     6970:7170
DNAT		net				loc:192.168.1.3		udp	6970:7170				-		206.124.146.179
################################################################################################################################################################
# Net to me
#
ACCEPT          net                             loc:192.168.1.3         tcp     4000:4100
################################################################################################################################################################
# DMZ to Internet
#
ACCEPT          dmz                             net                     tcp     smtp,domain,www,https,whois,echo,2702,21,2703,ssh
ACCEPT          dmz                             net                     udp     domain
#ACCEPT         dmz                             net:$POPSERVERS         tcp     pop3
#ACCEPT         dmz                             net:206.191.151.2       tcp     pop3
#ACCEPT         dmz                             net:66.216.26.115       tcp     pop3
#
# Something is wrong with the FTP connection tracking code or there is some client out there
# that is sending a PORT command which that code doesn't understand. Either way,
# the following works around the problem.
#
ACCEPT:$LOG     dmz                             net                     tcp     1024:                                   20
################################################################################################################################################################
# DMZ to Firewall -- ntp & snmp, Silently reject Auth
#
ACCEPT          dmz                             fw                      udp     ntp                                     ntp
ACCEPT          dmz                             fw                      tcp     snmp,ssh
ACCEPT          dmz                             fw                      udp     snmp
REJECT          dmz                             fw                      tcp     auth
################################################################################################################################################################
#
# DMZ to Local Network
#
ACCEPT          dmz                             loc                     tcp     smtp,6001:6010
################################################################################################################################################################
#
# DMZ to Me -- NFS
#
ACCEPT          dmz                             me                      tcp     111
ACCEPT          dmz                             me                      udp     111
ACCEPT          dmz                             me                      udp     2049
ACCEPT          dmz                             me                      udp     32700:
################################################################################################################################################################
# Internet to Firewall
#
REJECT          net                             fw                      tcp     www
DROP            net                             fw                      tcp     1433
################################################################################################################################################################
# WiFi to Firewall (SMB and NTP)
#
ACCEPT          WiFi                            fw                      tcp     ssh,137,139,445
ACCEPT          WiFi                            fw                      udp     137:139,445
ACCEPT
###############################################################################################################################################################
# WIFI to loc
#
ACCEPT		WiFi				loc			udp	137:139
ACCEPT		WiFi				loc			tcp	22,80,137,139,445,3389
ACCEPT		WiFi				loc			udp	1024:					137
ACCEPT		WiFi				loc			udp	177
###############################################################################################################################################################
# loc to WiFi
#
ACCEPT		loc				WiFi			udp	137:139
ACCEPT		loc				WiFi			tcp	137,139,445
ACCEPT		loc				WiFi			udp	1024:					137
ACCEPT		loc				WiFi			tcp	6000:6010
       WiFi                            fw                      udp     1024:                                   137
ACCEPT          WiFi                            fw                      udp     ntp                                     ntp
################################################################################################################################################################
# Firewall to WiFi (SMB)
#
ACCEPT          fw                              WiFi                    tcp     137,139,445
ACCEPT          fw                              WiFi                    udp     137:139,445
ACCEPT          fw                              WiFi                    udp     1024:                                   137
###############################################################################################################################################################
# WiFi to DMZ
#
DNAT-           WiFi                            dmz:206.124.146.177     all     -                                       -               192.168.1.193
ACCEPT          WiFi                            dmz                     tcp     smtp,www,ftp,imaps,domain,https,ssh     -
ACCEPT          WiFi                            dmz                     udp     domain
################################################################################################################################################################
# Firewall to Internet
#
ACCEPT          fw                              net:$NTPSERVERS         udp     ntp                                     ntp
ACCEPT          fw                              net:$POPSERVERS         tcp     pop3
ACCEPT          fw                              net                     udp     domain
ACCEPT          fw                              net                     tcp     domain,www,https,ssh,1723,whois,1863,ftp,2702,2703,7
ACCEPT          fw                              net                     udp     33435:33535
ACCEPT          fw                              net                     icmp    8
################################################################################################################################################################
# Firewall to DMZ
#
ACCEPT          fw                              dmz                     tcp     www,ftp,ssh,smtp
ACCEPT          fw                              dmz                     udp     domain
ACCEPT          fw                              dmz                     icmp    8
REJECT          fw                              dmz                     udp     137:139

#LAST LINE -- ADD YOUR ENTRIES BEFORE THIS ONE -- DO NOT REMOVE
+ 
################################################################################################################################################################
#RESULT         CLIENT(S)                       SERVER(S)               PROTO   PORT(S)                                 CLIENT          ORIGINAL DEST:SNAT
################################################################################################################################################################
# Local Network to Internet - Reject attempts by Trojans to call home
#
REJECT:$LOG     loc                             net                     tcp     6667
#
# Stop NETBIOS crap since our policy is ACCEPT
#
REJECT          loc                             net                     tcp     137,445
REJECT          loc                             net                     udp     137:139
################################################################################################################################################################
# Local Network to Firewall
#
DROP            loc:!192.168.1.0/24             fw
ACCEPT          loc                             fw                      tcp     ssh,time,10000,swat,137,139,445
ACCEPT          loc                             fw                      udp     snmp,ntp,445
ACCEPT          loc                             fw                      udp     137:139
ACCEPT          loc                             fw                      udp     1024:                                   137
################################################################################################################################################################
# Local Network to DMZ
#
ACCEPT          loc                             dmz                     udp     domain,xdmcp
ACCEPT          loc                             dmz                     tcp     www,smtp,domain,ssh,imap,https,imaps,cvspserver,ftp,10000,8080,pop3     -
################################################################################################################################################################
# Me to DMZ (This compensates for the broken RH kernel running in the DMZ -- that kernel's REJECT target is broken and Evolution requires a REJECT from smtps).
#
REJECT		me				dmz			tcp	465
################################################################################################################################################################
# Internet to DMZ
#
ACCEPT          net                             dmz                     tcp     smtp,www,ftp,imaps,domain,cvspserver,https   -
ACCEPT          net                             dmz                     udp     domain
Mirrors         net	                        dmz                     tcp     rsync
################################################################################################################################################################
#
# Net to Local
#
# When I'm "on the road", the following two rules allow me VPN access back home.
#
ACCEPT          net                             loc:192.168.1.5         tcp     1723
ACCEPT          net                             loc:192.168.1.5         gre
#
# ICQ
#
ACCEPT          net                             loc:192.168.1.5         tcp     4000:4100
#
# Real Audio
#
ACCEPT          net                             loc:192.168.1.5         udp     6970:7170
DNAT		net				loc:192.168.1.3		udp	6970:7170				-		206.124.146.179
################################################################################################################################################################
# Net to me
#
ACCEPT          net                             loc:192.168.1.3         tcp     4000:4100
################################################################################################################################################################
# DMZ to Internet
#
ACCEPT          dmz                             net                     tcp     smtp,domain,www,https,whois,echo,2702,21,2703,ssh
ACCEPT          dmz                             net                     udp     domain
#ACCEPT         dmz                             net:$POPSERVERS         tcp     pop3
#ACCEPT         dmz                             net:206.191.151.2       tcp     pop3
#ACCEPT         dmz                             net:66.216.26.115       tcp     pop3
#
# Something is wrong with the FTP connection tracking code or there is some client out there
# that is sending a PORT command which that code doesn't understand. Either way,
# the following works around the problem.
#
ACCEPT:$LOG     dmz                             net                     tcp     1024:                                   20
################################################################################################################################################################
# DMZ to Firewall -- ntp & snmp, Silently reject Auth
#
ACCEPT          dmz                             fw                      udp     ntp                                     ntp
ACCEPT          dmz                             fw                      tcp     snmp,ssh
ACCEPT          dmz                             fw                      udp     snmp
REJECT          dmz                             fw                      tcp     auth
################################################################################################################################################################
#
# DMZ to Local Network
#
ACCEPT          dmz                             loc                     tcp     smtp,6001:6010
################################################################################################################################################################
#
# DMZ to Me -- NFS
#
ACCEPT          dmz                             me                      tcp     111
ACCEPT          dmz                             me                      udp     111
ACCEPT          dmz                             me                      udp     2049
ACCEPT          dmz                             me                      udp     32700:
################################################################################################################################################################
# Internet to Firewall
#
REJECT          net                             fw                      tcp     www
DROP            net                             fw                      tcp     1433
################################################################################################################################################################
# WiFi to Firewall (SMB and NTP)
#
ACCEPT          WiFi                            fw                      tcp     ssh,137,139,445
ACCEPT          WiFi                            fw                      udp     137:139,445
ACCEPT
###############################################################################################################################################################
# WIFI to loc
#
ACCEPT		WiFi				loc			udp	137:139
ACCEPT		WiFi				loc			tcp	22,80,137,139,445,3389
ACCEPT		WiFi				loc			udp	1024:					137
ACCEPT		WiFi				loc			udp	177
###############################################################################################################################################################
# loc to WiFi
#
ACCEPT		loc				WiFi			udp	137:139
ACCEPT		loc				WiFi			tcp	137,139,445
ACCEPT		loc				WiFi			udp	1024:					137
ACCEPT		loc				WiFi			tcp	6000:6010
       WiFi                            fw                      udp     1024:                                   137
ACCEPT          WiFi                            fw                      udp     ntp                                     ntp
################################################################################################################################################################
# Firewall to WiFi (SMB)
#
ACCEPT          fw                              WiFi                    tcp     137,139,445
ACCEPT          fw                              WiFi                    udp     137:139,445
ACCEPT          fw                              WiFi                    udp     1024:                                   137
###############################################################################################################################################################
# WiFi to DMZ
#
DNAT-           WiFi                            dmz:206.124.146.177     all     -                                       -               192.168.1.193
ACCEPT          WiFi                            dmz                     tcp     smtp,www,ftp,imaps,domain,https,ssh     -
ACCEPT          WiFi                            dmz                     udp     domain
################################################################################################################################################################
# Firewall to Internet
#
ACCEPT          fw                              net:$NTPSERVERS         udp     ntp                                     ntp
ACCEPT          fw                              net:$POPSERVERS         tcp     pop3
ACCEPT          fw                              net                     udp     domain
ACCEPT          fw                              net                     tcp     domain,www,https,ssh,1723,whois,1863,ftp,2702,2703,7
ACCEPT          fw                              net                     udp     33435:33535
ACCEPT          fw                              net                     icmp    8
################################################################################################################################################################
# Firewall to DMZ
#
ACCEPT          fw                              dmz                     tcp     www,ftp,ssh,smtp
ACCEPT          fw                              dmz                     udp     domain
ACCEPT          fw                              dmz                     icmp    8
REJECT          fw                              dmz                     udp     137:139

#LAST LINE -- ADD YOUR ENTRIES BEFORE THIS ONE -- DO NOT REMOVE
The next three files deal with redirecting html requests to Squid on the DMZ server.