Последние угрозы

#!/bin/bash

ipt=iptables

WAN_IF="eth0"
LO_IF="lo"
LOOPBACK="127.0.0.0/8"

PORT_WAN_IN_TCP="22,80"
PORT_WAN_IN_UDP="27015"


/sbin/modprobe ip_conntrack #(может быть ещё какие то модули для работы с конкретными состояниями соединений)

$ipt -F
$ipt -F INPUT
$ipt -F FORWARD
$ipt -F OUTPUT
$ipt -F -t nat
$ipt -F -t mangle
$ipt -F -t filter
$ipt -t nat -X
$ipt -t mangle -X
$ipt -t filter -X

$ipt -P INPUT DROP
$ipt -P OUTPUT DROP
$ipt -P FORWARD DROP

$ipt -N common-check
$ipt -F common-check
# Отбрасываем невалидные пакты
$ipt -A common-check -m state --state INVALID -j DROP # дропает ошибочные пакеты не относящиеся к существующим соединениям
$ipt -A common-check -p tcp --tcp-flags SYN,ACK SYN,ACK -m state --state NEW -j REJECT --reject-with tcp-reset
$ipt -A common-check -p tcp ! --syn -m state --state NEW -j DROP #дропаем пакеты помеченые как новый, но без флажка SYN
$ipt -A common-check -p tcp --tcp-flags ALL FIN,URG,PSH -j DROP
$ipt -A common-check -p tcp --tcp-flags ALL ALL -j DROP
$ipt -A common-check -p tcp --tcp-flags ALL SYN,RST,ACK,FIN,URG -j DROP
$ipt -A common-check -p tcp --tcp-flags ALL NONE -j DROP
$ipt -A common-check -p tcp --tcp-flags SYN,RST SYN,RST -j DROP
$ipt -A common-check -p tcp --tcp-flags SYN,FIN SYN,FIN -j DROP

$ipt -N statefull
$ipt -F statefull
$ipt -A statefull -m state --state ESTABLISHED,RELATED -j ACCEPT

$ipt -N icmp_packets
$ipt -F icmp_packets
$ipt -A icmp_packets -p icmp --icmp-type 0 -j ACCEPT
$ipt -A icmp_packets -p icmp --icmp-type 3 -j ACCEPT
$ipt -A icmp_packets -p icmp --icmp-type 8 -j ACCEPT
$ipt -A icmp_packets -p icmp --icmp-type 11 -j ACCEPT

$ipt -N ssh_brute
$ipt -F ssh_brute
$ipt -A ssh_brute -m state --state NEW -m recent --set --name SSH -j ACCEPT #В этом правиле мы устанавливаем метку на SSH пакеты
$ipt -A ssh_brute -m recent --update --seconds 60 --hitcount 4 --rttl --name SSH -j LOG --log-prefix "SSH_BRUTFORCE: "
$ipt -A ssh_brute -m recent --update --seconds 60 --hitcount 4 --rttl --name SSH -j REJECT

$ipt -N in-wan
$ipt -F in-wan
$ipt -A in-wan -p tcp --dport ssh -j ssh_brute
$ipt -A in-wan -p tcp -m multiport --sport $PORT_WAN_IN_TCP -j ACCEPT
$ipt -A in-wan -p udp -m multiport --sport $PORT_WAN_IN_UDP -j ACCEPT


$ipt -A INPUT -p tcp -j common-check
$ipt -A INPUT -p icmp -j icmp_packets # Переправляем входящие по icmp
$ipt -A INPUT -j statefull
$ipt -A INPUT -i $WAN_IF -j in-wan # все входящие, что не отсеяли проверки
$ipt -A INPUT -i $LO_IF -d $LOOPBACK -j ACCEPT # Трафик "петли"

$ipt -A OUTPUT -j statefull
$ipt -A OUTPUT -p icmp -j icmp_packets
$ipt -A OUTPUT -p udp --dport 27010 -j ACCEPT