Здесь вы можете посмотреть ссылки других пользователей, а так же создать свою базу адресов/ссылок интересных для вас ресурсов интернета, если зарегестрируетесь.   Показывать по:   категориям алфавиту Каталог

--------------------------------------------------------------------------------------------------
#!/bin/sh

# разрешаем форвардинг
# o0oxid : 
# Вот еще небольшая неточность.
# ip_forward -  This variable is special, its change -= resets all configuration parameters =- to their default state (RFC1122 for hosts, RFC1812 for routers)
# У автора стоит имзенение этого параметра почему-то в конце скрипта, 
# .т.е. все настройки /proc/sys/net/ipv4/ сбросятся в дефолт, надо бы эту команду переместить в самое начало скрипта
echo "1" > /proc/sys/net/ipv4/ip_forward


ipt=/ISP-serv/iptables/usr/local/sbin/iptables
ipr=/ISP-serv/iproute2/usr/sbin/tc

touch /var/lock/subsys/local

# защита от syncflood-a
$ipt -A FORWARD -p tcp --syn -m limit --limit 15/minute -j ACCEPT

# активация TCP SYN Cookie Protection
echo 1 > /proc/sys/net/ipv4/tcp_syncookies

# отключение IP Source Routing
echo 0 > /proc/sys/net/ipv4/conf/all/accept_source_route

# отключение ICMP Redirect
echo 0 > /proc/sys/net/ipv4/conf/all/accept_redirects

# активация IP Spoofing Protection
echo 1 >  /proc/sys/net/ipv4/conf/all/rp_filter

# игнорирование Broadcast Request
echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_broadcasts

# сообщения о Bad Error Message
echo 1 >  /proc/sys/net/ipv4/icmp_ignore_bogus_error_responses

# защита от скрытого сканирования портов
$ipt -A FORWARD -p tcp --tcp-flags SYN,ACK,FIN,RST  RST  -m limit --limit 15/minute -j ACCEPT

# реализация NAT-a
$ipt -t nat -A POSTROUTING -s 10.10.10.0/24 -j SNAT --to-source xxx.xxx.xxx.gw

# Максимум 15 одновременных соединений c  одного IP к eth1 (ЛВС)
$ipt -A FORWARD -p tcp --syn  -i eth1  -m connlimit --connlimit-above 15 -j  REJECT 

# защита от атак с неправильными пакетами
$ipt -A INPUT -p tcp --tcp-flags ALL       FIN,URG,PSH           -j DROP
$ipt -A INPUT -p tcp --tcp-flags ALL       ALL                   -j DROP
$ipt -A INPUT -p tcp --tcp-flags ALL       SYN,RST,ACK,FIN,URG   -j DROP
$ipt -A INPUT -p tcp --tcp-flags ALL       NONE                  -j DROP
$ipt -A INPUT -p tcp --tcp-flags SYN,RST   SYN,RST               -j DROP
$ipt -A INPUT -p tcp --tcp-flags SYN,FIN   SYN,FIN               -j DROP

# защита от провайдерства интернета
$ipt -A INPUT -i eth1 -m ttl --ttl-lt 128 -j DROP
$ipt -A INPUT -i eth1 -m ttl --ttl-gt 128 -j DROP

# блокирование UDP пакетов которые не связаны с DNS
$ipt -A FORWARD -i eth1 -p UDP -s 0/0 --destination-port ! 53 -j DROP
$ipt -A FORWARD -i eth0 -p UDP -s 0/0 --source-port ! 53 -j DROP
$ipt -A INPUT -i eth1 -p UDP -s 0/0 --destination-port ! 53 -j DROP
$ipt -A INPUT -i eth0 -p UDP -s 0/0 --source-port ! 53 -j DROP


# запрет доступа к ssh с лвс
$ipt -A INPUT -i eth1 -d 10.10.10.8 -p tcp --dport 22 -j DROP

# очистка таблицы mangle
$ipt -t mangle -F

$ipr qdisc del dev eth0 root &> /dev/null
$ipr qdisc del dev eth1 root &> /dev/null

# kbps = KByte/sek
# ограничение скорости канала -----------------------------------------------------------------
$ipr qdisc add dev eth1 root handle 1: htb default 2
  $ipr qdisc add dev eth0 root handle 1: htb default 2
$ipr class add dev eth1 parent 1:  classid 1:1  htb rate 200kbps burst 250k
  $ipr class add dev eth0 parent 1:  classid 1:1  htb rate 100kbps burst 250k
# unclassified --------------------------------------------------------------------------------
$ipr class add dev eth1 parent 1:1 classid 1:2 htb rate 20kbps ceil 30kbps burst 1k prio 7
  $ipr class add dev eth0 parent 1:1 classid 1:2 htb rate 10kbps ceil 20kbps burst 1k prio 7
$ipr qdisc add dev eth1 parent 1:2 handle 2:  esfq perturb 10
  $ipr qdisc add dev eth0 parent 1:2 handle 2:  esfq perturb 10
# web ------------------------------------------------------------------------------------------
$ipt -t mangle -A POSTROUTING -m layer7 --l7proto http -j MARK --set-mark 3
$ipr class  add dev eth1 parent 1:1  classid 1:3 htb rate 150kbps ceil 200kbps burst 150k prio 2
  $ipr class  add dev eth0 parent 1:1  classid 1:3 htb rate 70kbps ceil 100kbps burst 150k prio 2
$ipr qdisc  add dev eth1 parent 1:3  handle 3: esfq perturb 10 hash dst
    # обратите внимание, esfq perturb 10 hash dst --> для распределния очередей по IP-адресам назначения 
  $ipr qdisc  add dev eth0 parent 1:3  handle 3: esfq perturb 10
$ipr filter add dev eth1 protocol ip parent 1:0 prio 1 handle 3 fw flowid 1:3
  $ipr filter add dev eth0 protocol ip parent 1:0 prio 1 handle 3 fw flowid 1:3
# p2p ----------------------------------------------------------------------------------------
$ipt -t mangle -A POSTROUTING -m layer7 --l7proto bittorrent -j MARK --set-mark 4
$ipt -t mangle -A POSTROUTING -m layer7 --l7proto directconnect -j MARK --set-mark 4
$ipr class  add dev eth1 parent 1:1  classid 1:4 htb rate 10kbps ceil 20kbps burst 1k prio 3
  $ipr class  add dev eth0 parent 1:1  classid 1:4 htb rate 5kbps ceil 10kbps burst 1k prio 3
$ipr qdisc  add dev eth1 parent 1:4  handle 4: esfq perturb 10 
  $ipr qdisc  add dev eth0 parent 1:4  handle 4: esfq perturb 10
$ipr filter add dev eth1 protocol ip parent 1:0 prio 1 handle 4 fw flowid 1:4
  $ipr filter add dev eth0 protocol ip parent 1:0 prio 1 handle 4 fw flowid 1:4
# ADMIN <--> xxx.xxx.xxx.gw ------------------------------------------------------------------------
$ipt -t mangle -A OUTPUT -d xxx.xxx.xxx.adm1 -j MARK --set-mark 5
$ipt -t mangle -A OUTPUT -d xxx.xxx.xxx.adm2 -j MARK --set-mark 5
$ipr class add dev eth0 parent 1:1  classid 1:5 htb rate 30kbps burst 15k prio 1
  $ipr qdisc  add dev eth0 parent 1:5  handle 5: sfq perturb 100
  $ipr filter add dev eth0 protocol ip parent 1:0 prio 1 handle 5 fw flowid 1:5
# ------------------------------------------------------------------------------

--------------------------------------------------------------------------------------------------

www.top.lv --> Информация
можно хранить свои линки и смотреть остальные