Linux. От новичка к профессионалу. 6-е изд

Глава 31. Маршрутизация. Настройка брандмауэра
491
# Разрешаем все пакеты по интерфейсу 1о (обратная петля)
$IPT -A INPUT -i lo -j ACCEPT
$IPT -A OUTPUT -o lo -j ACCEPT
# Запрещаем любые новые соединения с нашим компьютером
# с любых интерфейсов, кроме 1о
$IPT -A INPUT -m state ! -i lo --state NEW -j DROP
$IPT -A INPUT -s 127.0.0.1/255.0.0.0 ! -i lo -j DROP
# Отбрасываем все пакеты со статусом INVALID
$IPT -A 
INPUT -m 
state 
--state 
INVALID -j DROP
$IPT -A 
FORWARD 
-m 
state 
--state 
INVALID -j DROP
# Принимаем все пакеты из уже установленного соединения
# Состояние ESTABLISHED
$IPT -A INPUT -m state 
--state 
ESTABLISHED,RELATED 
-j 
ACCEPT
$IPT -A FORWARD 
-m 
state
--state 
ESTABLISHED,RELATED 
-j 
ACCEPT
# Мой провайдер использует IP-адреса из сети 10.0.0.0 для
# доступа к своим локальным ресурсам. Ничего не поделаешь,
# нужно разрешить эти адреса, иначе мы даже не сможем войти в
# билинговую систему. В вашем случае, может и не нужно будет
# добавлять следующее правило, а, может, у вас будет такая же
# ситуация, но адрес подсети будет другим
$IPT -t nat -I PREROUTING -i $INET -s 10.0.0.1/32 -j ACCEPT
# Защищаемся от SYN-наводнения (довольно популярный вид атаки)
$IPT -A INPUT -р tcp ! --syn -m state --state NEW -j DROP
$IPT -A OUTPUT -p tcp ! --syn -m state --state NEW -j DROP
# Защищаемся от UDP-наводнения
$IPT -A 
INPUT 
-p 
UDP 
-s 0/0 
--dport
138 
-j 
DROP
$IPT -A 
INPUT 
-p 
UDP 
-s 0/0 
--dport
113 
-j 
REJECT
$IPT -A 
INPUT 
-p 
UDP 
-s 0/0 
--sport
67 --dport 68 -j ACCEPT
$IPT -A 
INPUT 
-p 
UDP 
-j RETURN
$IPT -A OUTPUT -p UDP -s 0/0 -j ACCEPT
# Защищаемся от ICMP-перенаправления
# Этот вид атаки может использоваться злоумышленником для
# перенаправления своего трафика через вашу машину
$IPT -A INPUT --fragment -р ICMP -j DROP
$IPT -A OUTPUT --fragment -p ICMP -j DROP
# Но обычные ICMP-сообщения мы разрешаем
$IPT -A INPUT -p icmp -m icmp -i $INET --icmp-type source-quench -j ACCEPT
$IPT -A OUTPUT -p icmp -m icmp -o $INET --icmp-type source-quench -j ACCEPT

---

492