Вывод списка набора правил

Чтобы вывести список правил нужно выполнить команду iptables с ключом L, который кратко был описан ранее в главе Как строить правила. Выглядит это примерно так:

iptables -L

Эта команда выведет на экран список правил в удобочитаемом виде. Номера портов будут преобразованы в имена служб в соответствии с файлом /etc/services, IP адреса будут преобразованы в имена хостов через разрешение имен в службе DNS. С разрешением (resolving) имен могут возникнуть некоторые проблемы, например, имея сеть 192.168.0.0/16 служба DNS не сможет определить имя хоста с адресом 192.168.1.1, в результате произойдет подвисание команды. Чтобы обойти эту проблему следует выполнить вывод списка правил с дополнительным ключом:

iptables -L -n

Чтобы вывести дополнительную информацию о цепочках и правилах, выполните

iptables -L -n -v

Имеется ряд файлов в файловой системе /proc, которые содержат достаточно интересную для нас информацию. Например, допустим нам захотелось просмотреть список соединений в таблице conntrack. Это основная таблица, которая содержит список трассируемых соединений и в каком состоянии каждое из них находится. Для просмотра таблицы выполните команду

cat /proc/net/conntrack | less

Изменение и очистка ваших таблиц

По мере того как вы продолжите углубляться в исследование iptables, перед вами все актуальнее будет вставать вопрос об удалении отдельных правил из цепочек без необходимости перезагрузки машины. Сейчас я попробую на него ответить. Если вы по ошибке добавили какое либо правило, то вам нужно только заменить команду -A на команду -D в строке правила. iptables найдет заданное правило и удалит его. Если имеется несколько правил, которые выглядят как заданный шаблон для удаления, то будет стерто первое из найденных правил. Если такой порядок вещей вас не устраивает, то команде -D, в качестве параметра, можно передать номер удаляемой строки., например, команда iptables -D INPUT 10 сотрет десятое правило в цепочке INPUT. (Чтобы узнать номер правила, подайте команду iptables -L НАЗВАНИЕ_ЦЕПОЧКИ --line-numbers, тогда правила будут выводиться со своими номерами прим. перев.)

Для удаления содержимого целой цепочки используйте команду -F. Например: iptables -F INPUT - сотрет все правила в цепочке INPUT, однако эта команда не изменяет политики цепочки по-умолчанию, так что если она установлена как DROP то будет блокироваться все, что попадает в цепочку INPUT. Чтобы сбросить политику по-умолчанию, нужно просто установить ее в первоначальное состояние, например iptables -P INPUT ACCEPT.

Мною был написан небольшой сценарий (описанный несколько выше) который производит очистку всех таблиц и цепочек, и переустанавливает политики цепочек в iptables. Заметьте только, что если вы используете таблицу mangle, то вам необходимо внести дополнения в этот сценарий, поскольку он ее не обрабатывает.

Passive FTP без DCC

Это одна из замечательных особенностей новых iptables, поддерживаемых ядрами серии 2.4.x, когда вы можете разрешить Passive FTP, и запретить передачу по DCC с помощью нового трассировочного кода. Вы можете спросить "Как это?", все довольно просто. Чтобы сделать это возможным, вам потребуется скомпилировать ip_conntrack_irc, ip_nat_irc, ip_conntrack_ftp и ip_nat_ftp как подгружаемые модули, а не как статический код в ядре. Что эти модули делают, так они добавляют поддержку трассировки и NAT для Passive FTP и DCC send. Без этих модулей сетевой код ядра не сможет корректно обрабатывать соединения этого типа.

Если, к примеру, вы хотите разрешить Passive FTP и при этом запретить DCC send, то вам требуется загрузить модули ip_conntrack_ftp и ip_nat_ftp и НЕ загружать модули ip_conntrack_irc и ip_nat_irc и затем добавить правило:

iptables -A INPUT -p TCP -m state --state RELATED -j ACCEPT

Которое позволит выполнение соединений Passive FTP, но не DCC. Если нужно наоборот запретить Passive FTP и разрешить DCC, то вам надо с точностью до наоборот загрузить модули ip_conntrack_irc и ip_nat_irc и НЕ загружать модули ip_conntrack_ftp и ip_nat_ftp. Заметьте, что модули ip_nat_* необходимы только в том случае, если ваш брандмауэр выполняет преобразование сетевых адресов (Network Adress Translation) или маскарадинг при подключении локальных узлов у Интернет.

Для получения дополнительной информации относительно Active и Passive FTP, читайте RFC 959 - File Transfer Protocol by J. Postel and J. Reynolds. Этот RFC содержит информацию относительно протокола FTP, Active и Passive FTP и как они работают. Как описывает этот документ, в случае Active FTP, клиент посылает серверу свой IP и порт, выбранный случайным образом у себя для связи. Затем сервер соединяется с этим портом на клиенте. В случае, если ваш клиент находится за брандмауэром, выполняющим NAT, тогда раздел данных пакетов должен быть преобразован так как это делает модуль ip_nat_ftp. В Passive FTP порядок действий полностью изменен. Клиент сообщает серверу, что хочет послать или принять данные, а сервер в ответе сообщает клиенту к какому адресу нужно подключиться и какой порт использовать.

Пакеты со статусом NEW и со сброшенным битом SYN

Это свойство iptables недостаточно хорошо задокументировано, а поэтому многие могут уделить ему недостаточное внимание (включая и меня). Если вы используете правила, определяющие статус пакета NEW, но не проверяете состояние бита SYN, то пакеты со сброшенным битом SYN смогут "просочиться" через вашу защиту. Хотя, в случае, когда мы используем несколько брандмауэров, такой пакет может оказаться частью ESTABLISHED соединения, установленного через другой брандмауэр. Пропуская подобные пакеты, мы делаем возможным совместную работу двух или более брандмауэров, при этом мы можем любой из них остановить не боясь разорвать установленные соединения, Поскольку функции по передаче данных тут же возьмет на себя другой брандмауэр. Однако это позволит устанавливать практически любое TCP соединение. Во избежание этого следует добавить следующие правила в цепочки INPUT, OUTPUT и FORWARD:

$IPTABLES -A INPUT -p tcp ! --syn -m state --state NEW -j LOG --log-prefix "New not syn:"
$IPTABLES -A INPUT -p tcp ! --syn -m state --state NEW -j DROP

Вышеприведенные правила позаботятся об этой проблеме. Будьте чрезвычайно внимательны при построении правил принимающих решение на основе статуса пакета.

Обратите внимание, что имеются некоторые неприятности с вышеприведенными правилами и плохой реализацией TCP/IP от Microsoft. Дело в том, что при некоторых условиях, пакеты, сгенерированные программами от Microsoft маркируются как NEW и согласно этим правилам будут сброшены. Это, однако, не приводит к разрушению соединений, насколько я знаю. Происходит это потому, что, когда соединение закрывается, и посылается завершающий пакет FIN/ACK, то netfilter закрывает это соединение и удаляет его из таблицы conntrack. В этот момент, дефективный код Microsoft посылает другой пакет, которому присваивается статус NEW, но в этом пакете не установлен бит SYN и, следовательно соответствует вышеупомянутым правилам. Короче говоря - особо не переживайте по поводу этих правил. В случае чего - вы сможете просмотреть системный журнал, куда логируются отбрасываемые пакеты (см. правила выше) и разобраться с ними.

Имеется еще одна известная проблема с этими правилами. Если кто - то в настоящее время связан с брандмауэром, например из LAN, и активирует PPP, то в этом случае соединение будет уничтожено. Это происходит в момент, когда загружаются или выгружаются conntrack и nat модули. Другой способ получить эту проблему состоит в том, чтобы выполнить rc.firewall.txt сценарий из подключения telnet с другого компьютера. Для этого вы соединяетесь по telnet с брандмауэром. Запускаете rc.firewall.txt, в процессе исполнения которого, запускаются модули трассировки подключений, грузятся правила "NEW not SYN". Когда клиент telnet или daemon пробуют послать что нибудь, то это подключение будет распознано трассировочным кодом как NEW, но пакеты не имеют установленного бита SYN, так как они, фактически, являются частью уже установленного соединения. Следовательно, пакет будет соответствовать правилам в результате чего будет зажурналирован и сброшен.

Internet Service Providers who use assigned IP addresses

Я добавил этот раздел чтобы предупредить вас о туповатых Internet Service Providers, которые назначают IP адреса, отведенные IANA для локальных сетей. Например, Swedish Internet Service Provider и телефонная монополия Telia используют такие адреса, например, для их серверов DNS, которые использует диапазон 10.x.x.x. Проблема, с которой вы будете наиболее вероятно сталкиваться, состоит в том, что мы, в своих сценариях, не позволяем подключения с любых IP в диапазоне 10.x.x.x, из-за возможности фальсификации пакетов. Если вы столкнетесь с такой ситуацией, то наверное вам придется снять часть правил. Или установить правила, пропускающие траффик с этих серверов, ранее цепочки INPUT, например так:

/usr/local/sbin/iptables -t nat -I PREROUTING -i eth1 -s 10.0.0.1/32 -j ACCEPT

Хотелось бы напомнить подобным провайдерам, что эти диапазоны адресов не предназначены для использования в Интернет. Для корпоративных сетей - пожалуйста, для ваших собственных домашних сетей - прекрасно! Но они не должны вынуждать нас открываться из-за их прихоти.

Example rc.firewall script

#!/bin/sh
#
#rc.firewall - Initial SIMPLE IP Firewall script for Linux 2.4.x and iptables
#
#Copyright (C) 2001 Oskar Andreasson <[email protected]>
#
#This program is free software; you can redistribute it and/or modify
#it under the terms of the GNU General Public License as published by
#the Free Software Foundation; version 2 of the License.
#
#This program is distributed in the hope that it will be useful,
#but WITHOUT ANY WARRANTY; without even the implied warranty of
#MERCHANTABILITY or FITNESS FOR A PARTICULAR PURPOSE. See the
#GNU General Public License for more details.
#
#You should have received a copy of the GNU General Public License
#along with this program or from the site that you downloaded it
#from; if not, write to the Free Software Foundation, Inc., 59 Temple
#Place, Suite 330, Boston, MA 02111-1307 USA
#

###########################################################################
#
#1. Configuration options.
#

#
#1.1 Internet Configuration.
#

INET_IP = "194.236.50.155"
INET_IFACE = "eth0"

#
#1.1.1 DHCP
#

#
#1.1.2 PPPoE
#

#
#1.2 Local Area Network configuration.
#
# your LAN's IP range and localhost IP,/24 means to only use the first 24
#bits of the 32 bit IP adress. the same as netmask 255.255.255.0
#

LAN_IP="192.168.0.2"
LAN_IP_RANGE="192.168.0.0/16"
LAN_BCAST_ADRESS="192.168.255.255"
LAN_IFACE="eth1"

#
#1.3 DMZ Configuration.
#

#
#1.4 Localhost Configuration.
#

LO_IFACE="lo"
LO_IP="127.0.0.1"

#
#1.5 IPTables Configuration.
#

IPTABLES="/usr/sbin/iptables"

#
#1.6 Other Configuration.
#

###########################################################################
#
#2. Module loading.
#

#
# Needed to initially load modules
#

/sbin/depmod-a

#
#2.1 Required modules
#

/sbin/modprobeip_tables
/sbin/modprobeip_conntrack
/sbin/modprobeiptable_filter
/sbin/modprobeiptable_mangle
/sbin/modprobeiptable_nat
/sbin/modprobeipt_LOG
/sbin/modprobeipt_limit
/sbin/modprobeipt_state

#
#2.2 Non-Required modules
#

#/sbin/modprobeipt_owner
#/sbin/modprobeipt_REJECT
#/sbin/modprobeipt_MASQUERADE
#/sbin/modprobeip_conntrack_ftp
#/sbin/modprobeip_conntrack_irc

###########################################################################
#
#3. /proc setup.
#

#
#3.1 Required proc configuration
#

echo"1">/proc/sys/net/ipv4/ip_forward

#
#3.2 Non-Required proc configuration
#

#echo"1">/proc/sys/net/ipv4/conf/all/rp_filter
#echo"1">/proc/sys/net/ipv4/conf/all/proxy_arp
#echo"1">/proc/sys/net/ipv4/ip_dynaddr

###########################################################################
#
#4. rules setup.
#

######
#4.1 Filter table
#

#
#4.1.1 Set policies
#

$IPTABLES -P INPUT DROP
$IPTABLES -P OUTPUT DROP
$IPTABLES -P FORWARD DROP

#
#4.1.2 Create user specified chains
#

#
# Create chain for bad tcp packets
#

$IPTABLES -N bad_tcp_packets

#
#Create separate chains for ICMP, TCP and UDP to traverse
#

$IPTABLES -N allowed
$IPTABLES -N icmp_packets
$IPTABLES -N tcp_packets
$IPTABLES -N udpincoming_packets

#
#4.1.3 Create content in user specified chains
#

#
#bad_tcp_packets chain
#

$IPTABLES -A bad_tcp_packets -p tcp !--syn -m state --state NEW -j LOG\
--log-prefix "New not syn:"
$IPTABLES -A bad_tcp_packets -p tcp !--syn -m state --state NEW -j DROP

#
#allowedchain
#

$IPTABLES -A allowed -p TCP --syn -j ACCEPT
$IPTABLES -A allowed -p TCP -m state --state ESTABLISHED,RELATED -j ACCEPT
$IPTABLES -A allowed -p TCP -j DROP

#
#ICMP rules
#

#Changed rules totally
$IPTABLES -A icmp_packets -p ICMP -s 0/0 --icmp-type 8 -j ACCEPT
$IPTABLES -A icmp_packets -p ICMP -s 0/0 --icmp-type 11 -j ACCEPT

#
#TCP rules
#

$IPTABLES -A tcp_packets -p TCP -s 0/0 --dport 21 -j allowed
$IPTABLES -A tcp_packets -p TCP -s 0/0 --dport 22 -j allowed
$IPTABLES -A tcp_packets -p TCP -s 0/0 --dport 80 -j allowed
$IPTABLES -A tcp_packets -p TCP -s 0/0 --dport 113-j allowed

#
#UDP ports
#

#non documented commenting out of these rules
#$IPTABLES -A udpincoming_packets -p UDP -s 0/0 --source-port 53 -j ACCEPT
#$IPTABLES -A udpincoming_packets -p UDP -s 0/0 --source-port 123 -j ACCEPT
$IPTABLES -A udpincoming_packets -p UDP -s 0/0 --source-port 2074 -j ACCEPT
$IPTABLES -A udpincoming_packets -p UDP -s 0/0 --source-port 4000 -j ACCEPT

#
#4.1.4 INPUT chain
#

#
#Bad TCP packets we don't want.
#

$IPTABLES -A INPUT -p tcp -j bad_tcp_packets

#
#Rules for incoming packets from the internet.
#

$IPTABLES -A INPUT -p ICMP -i $INET_IFACE -j icmp_packets
$IPTABLES -A INPUT -p TCP -i $INET_IFACE -j tcp_packets
$IPTABLES -A INPUT -p UDP -i $INET_IFACE -j udpincoming_packets

#
#Rules for special networks not part of the Internet
#

$IPTABLES -A INPUT -p ALL -i $LAN_IFACE -d $LAN_BCAST_ADRESS -j ACCEPT
$IPTABLES -A INPUT -p ALL -i $LO_IFACE -s $LO_IP -j ACCEPT
$IPTABLES -A INPUT -p ALL -i $LO_IFACE -s $LAN_IP -j ACCEPT
$IPTABLES -A INPUT -p ALL -i $LO_IFACE -s $INET_IP -j ACCEPT
$IPTABLES -A INPUT -p ALL -i $LAN_IFACE -s $LAN_IP_RANGE -j ACCEPT
$IPTABLES -A INPUT -p ALL -d $INET_IP -m state --state ESTABLISHED,RELATED \
-j ACCEPT

#
#Log weird packets that don't match the above.
#

$IPTABLES -A INPUT -m limit --limit 3/minute --limit-burst 3 -j LOG\
--log-level DEBUG --log-prefix "IPT INPUT packet died:"

#
#4.1.5 FORWARD chain
#

#
#Bad TCP packets we don't want
#

$IPTABLES -A FORWARD -p tcp -j bad_tcp_packets

#
#Accept the packets we actually want to forward
#

$IPTABLES -A FORWARD -i $LAN_IFACE -j ACCEPT
$IPTABLES -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT

#
#Log weird packets that don't match the above.
#

$IPTABLES -A FORWARD -m limit --limit 3/minute --limit-burst 3 -j LOG\
--log-level DEBUG --log-prefix "IPT FORWARD packet died:"

#
#4.1.6 OUTPUT chain
#

#
#Bad TCP packets we don't want.
#

$IPTABLES -A OUTPUT -p tcp -j bad_tcp_packets

#
#Special OUTPUT rules to decide which IP's to allow.
#

$IPTABLES -A OUTPUT -p ALL -s $LO_IP -j ACCEPT
$IPTABLES -A OUTPUT -p ALL -s $LAN_IP -j ACCEPT
$IPTABLES -A OUTPUT -p ALL -s $INET_IP -j ACCEPT

#
#Log weird packets that don't match the above.
#

$IPTABLES -A OUTPUT -m limit --limit 3/minute --limit-burst 3 -j LOG\
--log-level DEBUG --log-prefix "IPT OUTPUT packet died:"

######
#4.2 nat table
#

#
#4.2.1 Set policies
#

#
#4.2.2 Create user specified chains
#

#
#4.2.3 Create content in user specified chains
#

#
#4.2.4 PREROUTING chain
#

#
#4.2.5 POSTROUTING chain
#

#
# Enable simple IP Forwarding and Network Address Translation
#

$IPTABLES -t nat -A POSTROUTING -o $INET_IFACE -j SNAT --to-source $INET_IP

#
#4.2.6 OUTPUT chain
#

######
#4.3 mangle table
#

#
#4.3.1 Set policies
#

#
#4.3.2 Create user specified chains
#

#
#4.3.3 Create content in user specified chains
#

#
#4.3.4 PREROUTING chain
#

#
#4.3.5 INPUT chain
#

#
#4.3.6 FORWARD chain
#

#
#4.3.7 OUTPUT chain
#

#
#4.3.8 POSTROUTING chain
#

Example rc.DMZ.firewall script

#!/bin/sh
#
#rc.DMZ.firewall - DMZ IP Firewall script for Linux 2.4.x and iptables
#
#Copyright (C) 2001 Oskar Andreasson <[email protected]>
#
#This program is free software; you can redistribute it and/or modify
#it under the terms of the GNU General Public License as published by
#the Free Software Foundation; version 2 of the License.
#
#This program is distributed in the hope that it will be useful,
#but WITHOUT ANY WARRANTY; without even the implied warranty of
#MERCHANTABILITY or FITNESS FOR A PARTICULAR PURPOSE. See the
#GNU General Public License for more details.
#
#You should have received a copy of the GNU General Public License
#along with this program or from the site that you downloaded it
#from; if not, write to the Free Software Foundation, Inc., 59 Temple
#Place, Suite 330, Boston, MA 02111-1307 USA
#

###########################################################################
#
#1. Configuration options.
#

#
#1.1 Internet Configuration.
#

INET_IP="194.236.50.152"
HTTP_IP="194.236.50.153"
DNS_IP="194.236.50.154"
INET_IFACE="eth0"

#
#1.1.1 DHCP
#

#
#1.1.2 PPPoE
#

#
#1.2 Local Area Network configuration.
#
#your LAN's IP range and localhost IP./24 means to only use the first 24
#bits of the 32 bit IP adress. the same as netmask 255.255.255.0
#

LAN_IP="192.168.0.2"
LAN_IP_RANGE="192.168.0.0/16"
LAN_BCAST_ADRESS="192.168.255.255"
LAN_IFACE="eth1"

#
#1.3 DMZ Configuration.
#

DMZ_HTTP_IP="192.168.1.2"
DMZ_DNS_IP="192.168.1.3"
DMZ_IP="192.168.1.1"
DMZ_IFACE="eth2"

#
#1.4 Localhost Configuration.
#

LO_IFACE="lo"
LO_IP="127.0.0.1"

#
#1.5 IPTables Configuration.
#

IPTABLES="/usr/sbin/iptables"

#
#1.6 Other Configuration.
#

###########################################################################
#
#2.Module loading.
#

#
#Needed to initially load modules
#
/sbin/depmod-a



#
#2.1 Required modules
#

/sbin/modprobeip_tables
/sbin/modprobeip_conntrack
/sbin/modprobeiptable_filter
/sbin/modprobeiptable_mangle
/sbin/modprobeiptable_nat
/sbin/modprobeipt_LOG
/sbin/modprobeipt_limit
/sbin/modprobeipt_state

#
#2.2 Non-Required modules
#

#/sbin/modprobeipt_owner
#/sbin/modprobeipt_REJECT
#/sbin/modprobeipt_MASQUERADE
#/sbin/modprobeip_conntrack_ftp
#/sbin/modprobeip_conntrack_irc

###########################################################################
#
#3. /proc setup.
#

#
#3.1 Required proc configuration
#

echo"1">/proc/sys/net/ipv4/ip_forward

#
#3.2 Non-Required proc configuration
#

#echo"1">/proc/sys/net/ipv4/conf/all/rp_filter
#echo"1">/proc/sys/net/ipv4/conf/all/proxy_arp
#echo"1">/proc/sys/net/ipv4/ip_dynaddr

###########################################################################
#
#4. rules setup.
#

######
#4.1 Filter table
#

#
#4.1.1 Set policies
#

$IPTABLES -P INPUT DROP
$IPTABLES -P OUTPUT DROP
$IPTABLES -P FORWARD DROP

#
#4.1.2 Create user specified chains
#

#
#Create chain for bad tcp packets
#

$IPTABLES -N bad_tcp_packets

#
#Create separate chains for ICMP, TCP and UDP to traverse
#

$IPTABLES -N allowed
$IPTABLES -N icmp_packets
$IPTABLES -N tcp_packets
$IPTABLES -N udpincoming_packets

#
#4.1.3Create content in user specified chains
#

#
#bad_tcp_packets chain
#

$IPTABLES -A bad_tcp_packets -p tcp! --syn -m state --state NEW -j LOG \
--log-prefix "New not syn:"
$IPTABLES -A bad_tcp_packets -p tcp! --syn -m state --state NEW -j DROP

#
#allowed chain
#

$IPTABLES -A allowed -p TCP --syn -j ACCEPT
$IPTABLES -A allowed -p TCP -m state --state ESTABLISHED,RELATED -j ACCEPT
$IPTABLES -A allowed -p TCP -j DROP

#
#ICMP rules
#

#Changed rules totally
$IPTABLES -A icmp_packets -p ICMP -s 0/0 --icmp-type 8 -j ACCEPT
$IPTABLES -A icmp_packets -p ICMP -s 0/0 --icmp-type 11 -j ACCEPT

#
#4.1.4 INPUT chain
#

#
#Bad TCP packets we don't want
#

$IPTABLES -A INPUT -p tcp -j bad_tcp_packets

#
#Packets from the Internet to this box
#

$IPTABLES -A INPUT -p ICMP -i $INET_IFACE -j icmp_packets

#
#Packets from LAN, DMZ or LOCALHOST
#

#
#From DMZ Interface to DMZ firewall IP
#

$IPTABLES -A INPUT -p ALL -i $DMZ_IFACE -d $DMZ_IP -j ACCEPT

#
#From LAN Interface to LAN firewall IP
#

$IPTABLES -A INPUT -p ALL -i $LAN_IFACE -d $LAN_IP -j ACCEPT
$IPTABLES -A INPUT -p ALL -i $LAN_IFACE -d $LAN_BCAST_ADRESS -j ACCEPT

#
#From Localhost interface to Localhost IP
#
$IPTABLES -A INPUT -p ALL -i $LO_IFACE -s $LO_IP -j ACCEPT
$IPTABLES -A INPUT -p ALL -i $LO_IFACE -s $LAN_IP -j ACCEPT
$IPTABLES -A INPUT -p ALL -i $LO_IFACE -s $INET_IP -j ACCEPT

#
#All established and related packets incoming from the internet to the
#firewall
#

$IPTABLES -A INPUT -p ALL -d $INET_IP -m state --state ESTABLISHED,RELATED\
-j ACCEPT

#
#Logging rule
#

$IPTABLES -A INPUT -m limit --limit 3/minute --limit-burst 3\
-j LOG --log-level DEBUG --log-prefix "IPT INPUT packet died:"

#
#4.1.5 FORWARD chain
#

#
#Bad TCP packets we don't want
#

$IPTABLES -A FORWARD -p tcp -j bad_tcp_packets


#
#DMZ section
#
#General rules
#

$IPTABLES -A FORWARD -i $DMZ_IFACE -o $INET_IFACE -j ACCEPT
$IPTABLES -A FORWARD -i $INET_IFACE -o $DMZ_IFACE -m state \
--state ESTABLISHED,RELATED -j ACCEPT
$IPTABLES -A FORWARD -i $LAN_IFACE -o $DMZ_IFACE -j ACCEPT
$IPTABLES -A FORWARD -i $DMZ_IFACE -o $LAN_IFACE -j ACCEPT

#
#HTTP server
#

$IPTABLES -A FORWARD -p TCP -i $INET_IFACE -o $DMZ_IFACE -d $DMZ_HTTP_IP\
--dport 80 -j allowed
$IPTABLES -A FORWARD -p ICMP-i$INET_IFACE -o $DMZ_IFACE -d $DMZ_HTTP_IP \
-j icmp_packets

#
#DNS server
#

$IPTABLES -A FORWARD -p TCP -i $INET_IFACE -o $DMZ_IFACE -d $DMZ_DNS_IP \
--dport 53 -j allowed
$IPTABLES -A FORWARD -p UDP -i $INET_IFACE -o $DMZ_IFACE -d $DMZ_DNS_IP \
--dport 53 -j ACCEPT
$IPTABLES -A FORWARD -p ICMP -i $INET_IFACE -o $DMZ_IFACE -d $DMZ_DNS_IP \
-j icmp_packets

#
#LAN section
#

$IPTABLES -A FORWARD -i $LAN_IFACE -j ACCEPT
$IPTABLES -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT

#
#LOG all packets reaching here
#

$IPTABLES -A FORWARD -m limit --limit 3/minute --limit-burst 3 -j LOG \
--log-level DEBUG --log-prefix "IPT FORWARD packet died:"

#
#4.1.6 OUTPUT chain
#

#
#Bad TCP packets we don't want
#

$IPTABLES -A OUTPUT -p tcp -j bad_tcp_packets

#
#Allow our self to send packets not spoofed everywhere
#

$IPTABLES -A OUTPUT -p ALL -o $LO_IFACE -s $LO_IP -j ACCEPT
$IPTABLES -A OUTPUT -p ALL -o $LAN_IFACE -s $LAN_IP -j ACCEPT
$IPTABLES -A OUTPUT -p ALL -o $INET_IFACE -s $INET_IP -j ACCEPT

#
#Logging rule
#

$IPTABLES -A OUTPUT -m limit --limit 3/minute --limit-burst 3 -j LOG \
--log-level DEBUG --log-prefix "IPT OUTPUT packet died:"

######
#4.2nat table
#

#
#4.2.1 Set policies
#

#
#4.2.2 Create user specified chains
#

#
#4.2.3 Create content in user specified chains
#

#
#4.2.4 PREROUTING chain
#

#
#Enable IP Destination NAT for DMZ zone
#

$IPTABLES -t nat -A PREROUTING -p TCP -i $INET_IFACE -d $HTTP_IP --dport 80 \
-j DNAT --to-destination $DMZ_HTTP_IP
$IPTABLES -t nat -A PREROUTING -p TCP -i $INET_IFACE -d $DNS_IP --dport 53 \
-j DNAT --to-destination $DMZ_DNS_IP
$IPTABLES -t nat -A PREROUTING -p UDP -i $INET_IFACE -d $DNS_IP --dport 53 \
-j DNAT --to-destination $DMZ_DNS_IP

#
#4.2.5 POSTROUTING chain
#

#
#Enable simple IP Forwarding and Network Address Translation
#

$IPTABLES -t nat -A POSTROUTING -o $INET_IFACE -j SNAT --to-source $INET_IP


#
#4.2.6 OUTPUT chain
#

######
#4.3 mangle table
#

#
#4.3.1 Set policies
#

#
#4.3.2 Create user specified chains
#

#
#4.3.3 Create content in user specified chains
#

#
#4.3.4 PREROUTING chain
#

#
#4.3.5 INPUT chain
#

#
#4.3.6 FORWARD chain
#

#
#4.3.7 OUTPUT chain
#

#
#4.3.8 POSTROUTING chain
#

Example rc.UTIN.firewall script

#!/bin/sh
#
#rc.firewall-UTIN Firewall script for Linux 2.4.x and iptables
#
#Copyright (C) 2001 Oskar Andreasson <[email protected]>
#
#This program is free software; you can redistribute it and/or modify
#it under the terms of the GNU General Public License as published by
#the Free Software Foundation; version 2 of the License.
#
#This program is distributed in the hope that it will be useful,
#but WITHOUT ANY WARRANTY; without even the implied warranty of
#MERCHANTABILITY or FITNESS FOR A PARTICULAR PURPOSE. See the
#GNU General Public License for more details.
#
#You should have received a copy of the GNU General Public License
#along with this program or from the site that you downloaded it
#from; if not, write to the Free Software Foundation, Inc., 59 Temple
#Place,Suite 330,Boston,MA 02111-1307 USA
#

###########################################################################
#
#1. Configuration options.
#

#
#1.1 Internet Configuration.
#

INET_IP="194.236.50.155"
INET_IFACE="eth0"

#
#1.1.1 DHCP
#

#
#1.1.2 PPPoE
#

#
#1.2 Local Area Network configuration.
#
#your LAN's IP range and localhost IP. /24 means to only use the first 24
#bits of the 32 bit IP adress. the same as netmask 255.255.255.0
#

LAN_IP="192.168.0.2"
LAN_IP_RANGE="192.168.0.0/16"
LAN_BCAST_ADRESS="192.168.255.255"
LAN_IFACE="eth1"

#
#1.3 DMZ Configuration.
#

#
#1.4 Localhost Configuration.
#

LO_IFACE="lo"
LO_IP="127.0.0.1"

#
#1.5 IPTables Configuration.
#

IPTABLES="/usr/sbin/iptables"

#
#1.6 Other Configuration.
#

###########################################################################
#
#2. Module loading.
#

#
#Needed to initially load modules
#

/sbin/depmod-a

#
#2.1 Required modules
#

/sbin/modprobeip_tables
/sbin/modprobeip_conntrack
/sbin/modprobeiptable_filter
/sbin/modprobeiptable_mangle
/sbin/modprobeiptable_nat
/sbin/modprobeipt_LOG
/sbin/modprobeipt_limit
/sbin/modprobeipt_state

#
#2.2 Non-Required modules
#

#/sbin/modprobeipt_owner
#/sbin/modprobeipt_REJECT
#/sbin/modprobeipt_MASQUERADE
#/sbin/modprobeip_conntrack_ftp
#/sbin/modprobeip_conntrack_irc

###########################################################################
#
#3. /proc setup.
#

#
#3.1 Required proc configuration
#

echo "1" >/proc/sys/net/ipv4/ip_forward

#
#3.2 Non-Required proc configuration
#

#echo "1" >/proc/sys/net/ipv4/conf/all/rp_filter
#echo "1" >/proc/sys/net/ipv4/conf/all/proxy_arp
#echo "1" >/proc/sys/net/ipv4/ip_dynaddr


###########################################################################
#
#4. rules setup.
#

######
#4.1 Filter table
#

#
#4.1.1 Set policies
#

$IPTABLES -P INPUT DROP
$IPTABLES -P OUTPUT DROP
$IPTABLES -P FORWARD DROP

#
#4.1.2 Create user specified chains
#

#
#Create chain for bad tcp packets
#

$IPTABLES -N bad_tcp_packets

#
#Create separate chains for ICMP, TCP and UDP to traverse
#

$IPTABLES -N allowed
$IPTABLES -N icmp_packets
$IPTABLES -N tcp_packets
$IPTABLES -N udpincoming_packets

#
#4.1.3 Create content in user specified chains
#

#
#bad_tcp_packets chain
#

$IPTABLES -A bad_tcp_packets -p tcp !--syn -m state --state NEW -j LOG \
--log-prefix "New not syn:"
$IPTABLES -A bad_tcp_packets -p tcp !--syn -m state --state NEW -j DROP

#
#allowed chain
#

$IPTABLES -A allowed -p TCP --syn -j ACCEPT
$IPTABLES -A allowed -p TCP -m state --state ESTABLISHED,RELATED -j ACCEPT
$IPTABLES -A allowed -p TCP -j DROP

#
#ICMP rules
#

#Changed rules totally
$IPTABLES -A icmp_packets -p ICMP -s 0/0 --icmp-type 8 -j ACCEPT
$IPTABLES -A icmp_packets -p ICMP -s 0/0 --icmp-type 11 -j ACCEPT

#
#TCP rules
#

$IPTABLES -A tcp_packets -p TCP -s 0/0 --dport 21 -j allowed
$IPTABLES -A tcp_packets -p TCP -s 0/0 --dport 22 -j allowed
$IPTABLES -A tcp_packets -p TCP -s 0/0 --dport 80 -j allowed
$IPTABLES -A tcp_packets -p TCP -s 0/0 --dport 113 -j allowed

#
#UDP ports
#

$IPTABLES -A udpincoming_packets -p UDP -s 0/0 --source-port 53 -j ACCEPT
$IPTABLES -A udpincoming_packets -p UDP -s 0/0 --source-port 123 -j ACCEPT
$IPTABLES -A udpincoming_packets -p UDP -s 0/0 --source-port 2074 -j ACCEPT
$IPTABLES -A udpincoming_packets -p UDP -s 0/0 --source-port 4000 -j ACCEPT

#
#4.1.4 INPUT chain
#

#
#Bad TCP packets we don't want.
#

$IPTABLES -A INPUT -p tcp -j bad_tcp_packets

#
#Rules for incoming packets from anywhere
#

$IPTABLES -A INPUT -p ICMP -j icmp_packets
$IPTABLES -A INPUT -p TCP -j tcp_packets
$IPTABLES -A INPUT -p UDP -j udpincoming_packets

#
#Rules for special networks not part of the Internet
#

$IPTABLES -A INPUT -p ALL -i $LO_IFACE -s $LO_IP -j ACCEPT
$IPTABLES -A INPUT -p ALL -i $LO_IFACE -s $LAN_IP -j ACCEPT
$IPTABLES -A INPUT -p ALL -i $LO_IFACE -s $INET_IP -j ACCEPT
$IPTABLES -A INPUT -p ALL -d $INET_IP -m state --state ESTABLISHED,RELATED \
-j ACCEPT

#
#Log weird packets that don't match the above.
#

$IPTABLES -A INPUT -m limit --limit 3/minute --limit-burst 3 \
-j LOG --log-level DEBUG --log-prefix "IPT INPUT packet died:"

#
#4.1.5 FORWARD chain
#

#
#Bad TCP packets we don't want
#

$IPTABLES -A FORWARD -p tcp -j bad_tcp_packets

#
#Accept the packets we actually want to forward between interfaces.
#

$IPTABLES -A FORWARD -p tcp --dport 21 -i $LAN_IFACE -j ACCEPT
$IPTABLES -A FORWARD -p tcp --dport 80 -i $LAN_IFACE -j ACCEPT
$IPTABLES -A FORWARD -p tcp --dport 110 -i$LAN_IFACE -j ACCEPT
$IPTABLES -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT

#
#Log weird packets that don't match the above.
#

$IPTABLES -A FORWARD -m limit --limit 3/minute --limit-burst 3 -j LOG \
--log-level DEBUG --log-prefix "IPT FORWARD packet died:"

#
#4.1.6 OUTPUT chain
#

#
#Bad TCP packets we don't want.
#

$IPTABLES -A OUTPUT -p tcp -j bad_tcp_packets

#
#Special OUTPUT rules to decide which IP's to allow.
#

$IPTABLES -A OUTPUT -p ALL -s $LO_IP -j ACCEPT
$IPTABLES -A OUTPUT -p ALL -s $LAN_IP -j ACCEPT
$IPTABLES -A OUTPUT -p ALL -s $INET_IP -j ACCEPT

#
#Log weird packets that don't match the above.
#

$IPTABLES -A OUTPUT -m limit --limit 3/minute --limit-burst 3 \
-j LOG --log-level DEBUG --log-prefix "IPT OUTPUT packet died:"

######
#4.2 nat table
#

#
#4.2.1 Set policies
#

#
#4.2.2 Create user specified chains
#

#
#4.2.3 Create content in user specified chains
#

#
#4.2.4 PREROUTING chain
#

#
#4.2.5 POSTROUTING chain
#

#
#Enable simple IP Forwarding and Network Address Translation
#

$IPTABLES -t nat -A POSTROUTING -o $INET_IFACE -j SNAT --to-source $INET_IP

#
#4.2.6 OUTPUT chain
#

######
#4.3 mangle table
#

#
#4.3.1 Set policies
#

#
#4.3.2 Create user specified chains
#

#
#4.3.3 Create content in user specified chains
#

#
#4.3.4 PREROUTING chain
#

#
#4.3.5 INPUT chain
#

#
#4.3.6 FORWARD chain
#

#
#4.3.7 OUTPUT chain
#

#
#4.3.8 POSTROUTING chain
#

Example rc.DHCP.firewall script

#!/bin/sh
#
#rc.firewall-DHCP IP Firewall script for Linux 2.4.x and iptables
#
#Copyright (C) 2001 Oskar Andreasson <[email protected]>
#
#This program is free software; you can redistribute it and/or modify
#it under the terms of the GNU General Public License as published by
#the Free Software Foundation; version 2 of the License.
#
#This program is distributed in the hope that it will be useful,
#but WITHOUT ANY WARRANTY; without even the implied warranty of
#MERCHANTABILITY or FITNESS FOR A PARTICULAR PURPOSE. See the
#GNU General Public License for more details.
#
#You should have received a copy of the GNU General Public License
#along with this program or from the site that you downloaded it
#from; if not, write to the Free Software Foundation, Inc., 59 Temple
#Place, Suite 330, Boston, MA 02111-1307 USA
#

###########################################################################
#
#1. Configuration options.
#

#
#1.1 Internet Configuration.
#

INET_IFACE="eth0"

#
#1.1.1 DHCP
#

#
#Information per taining to DHCP over the Internet, if needed.
#
#Set DHCP variable to no if you don't get IP from DHCP. If you get DHCP
#over the Internet set this variable to yes, and setup the proper IP
#adress for the DHCP server in the DHCP_SERVER variable.
#

DHCP="no"
DHCP_SERVER="195.22.90.65"

#
#1.1.2 PPPoE
#

#Configuration options per taining to PPPoE.
#
#If you have problem with your PPPoE connection, such as large mails not
#getting through while small mail get through properly etc, you may set
#this option to "yes" which may fix the problem. This option will set a
#rule in the PREROUTING chain of the mangle table which will clamp
#(resize) all routed packets to PMTU (Path Maximum Transmit Unit).
#
#Note that it is better to set this up in the PPPoE package it self, since
#the PPPoE configuration option will give less overhead.
#

PPPOE_PMTU="no"

#
#1.2 Local Area Network configuration.
#
#your LAN's IP range and localhost IP. /24 means to only use the first 24
#bits of the 32 bit IP adress. the same as netmask 255.255.255.0
#

LAN_IP="192.168.0.2"
LAN_IP_RANGE="192.168.0.0/16"
LAN_BCAST_ADRESS="192.168.255.255"
LAN_IFACE="eth1"

#
#1.3 DMZ Configuration.
#

#
#1.4 Localhost Configuration.
#

LO_IFACE="lo"
LO_IP="127.0.0.1"

#
#1.5 IPTables Configuration.
#

IPTABLES="/usr/sbin/iptables"

#
#1.6 Other Configuration.
#


###########################################################################
#
#2.Module loading.
#

#
#Needed to initially load modules
#

/sbin/depmod-a

#
#2.1 Required modules
#

/sbin/modprobeip_conntrack
/sbin/modprobeip_tables
/sbin/modprobeiptable_filter
/sbin/modprobeiptable_mangle
/sbin/modprobeiptable_nat
/sbin/modprobeipt_LOG
/sbin/modprobeipt_limit
/sbin/modprobeipt_MASQUERADE

#
#2.2 Non-Required modules
#

#/sbin/modprobeipt_owner
#/sbin/modprobeipt_REJECT
#/sbin/modprobeip_conntrack_ftp
#/sbin/modprobeip_conntrack_irc


###########################################################################
#
#3. /proc setup.
#

#
#3.1 Required proc configuration
#

echo "1" >/proc/sys/net/ipv4/ip_forward

#
#3.2 Non-Required proc configuration
#

#echo "1" >/proc/sys/net/ipv4/conf/all/rp_filter
#echo "1" >/proc/sys/net/ipv4/conf/all/proxy_arp
#echo "1" >/proc/sys/net/ipv4/ip_dynaddr

###########################################################################
#
#4. rules setup.
#

######
#4.1 Filter table
#

#
#4.1.1 Set policies
#

$IPTABLES -P INPUT DROP
$IPTABLES -P OUTPUT DROP
$IPTABLES -P FORWARD DROP

#
#4.1.2 Create user specified chains
#

#
#Create chain for bad tcp packets
#

$IPTABLES -N bad_tcp_packets

#
#Create separate chains for ICMP, TCP and UDP to traverse
#

$IPTABLES -N allowed
$IPTABLES -N icmp_packets
$IPTABLES -N tcp_packets
$IPTABLES -N udpincoming_packets

#
#4.1.3 Create content in user specified chains
#

#
#bad_tcp_packets chain
#

$IPTABLES -A bad_tcp_packets -p tcp !--syn -m state --state NEW -j LOG \
--log-prefix "New not syn:"
$IPTABLES -A bad_tcp_packets -p tcp !--syn -m state --state NEW -j DROP

#
#allowed chain
#

$IPTABLES -A allowed -p TCP --syn -j ACCEPT
$IPTABLES -A allowed -p TCP -m state --state ESTABLISHED,RELATED -j ACCEPT
$IPTABLES -A allowed -p TCP -j DROP

#
#ICMP rules
#

#Changed rules totally
$IPTABLES -A icmp_packets -p ICMP -s 0/0 --icmp-type 8 -j ACCEPT
$IPTABLES -A icmp_packets -p ICMP -s 0/0 --icmp-type 11 -j ACCEPT

#
#TCP rules
#

$IPTABLES -A tcp_packets -p TCP -s 0/0 --dpor t21 -j allowed
$IPTABLES -A tcp_packets -p TCP -s 0/0 --dport 22 -j allowed
$IPTABLES -A tcp_packets -p TCP -s 0/0 --dport 80 -j allowed
$IPTABLES -A tcp_packets -p TCP -s 0/0 --dport 113 -j allowed

#
#UDP ports
#

$IPTABLES -A udpincoming_packets -p UDP -s 0/0 --source-port 53 -j ACCEPT
if [$DHCP=="yes"]; then
$IPTABLES -A udpincoming_packets -p UDP -s $DHCP_SERVER --sport 67\
--dport 68 -j ACCEPT
fi

#non documented commenting out of the serules
#$IPTABLES -A udpincoming_packets -p UDP -s 0/0 --source-port 53 -j ACCEPT
#$IPTABLES -A udpincoming_packets -p UDP -s 0/0 --source-port 123 -j ACCEPT
$IPTABLES -A udpincoming_packets -p UDP -s 0/0 --source-port 2074 -j ACCEPT
$IPTABLES -A udpincoming_packets -p UDP -s 0/0 --source-port 4000 -j ACCEPT

#
#4.1.4 INPUT chain
#

#
#Bad TCP packets we don't want.
#

$IPTABLES -A INPUT -p tcp -j bad_tcp_packets

#
#Rules for incoming packets from the internet.
#

$IPTABLES -A INPUT -p ICMP -i $INET_IFACE -j icmp_packets
$IPTABLES -A INPUT -p TCP -i $INET_IFACE -j tcp_packets
$IPTABLES -A INPUT -p UDP -i $INET_IFACE -j udpincoming_packets

#
#Rules for special networks not part of the Internet
#

$IPTABLES -A INPUT -p ALL -i $LO_IFACE -j ACCEPT
$IPTABLES -A INPUT -p ALL -i $LAN_IFACE -s $LAN_IP_RANGE -j ACCEPT
$IPTABLES -A INPUT -p ALL -i $INET_IFACE -m state \
--state ESTABLISHED,RELATED -j ACCEPT

#
#Log weird packets that don't match the above.
#

$IPTABLES -A INPUT -m limit --limit 3/minute --limit-burst 3 \
-j LOG --log-level DEBUG --log-prefix "IPT INPUT packet died:"

#
#4.1.5 FORWARD chain
#

#
#Bad TCP packets we don't want
#

$IPTABLES -A FORWARD -p tcp -j bad_tcp_packets

#
#Accept the packets we actually want to forward
#

$IPTABLES -A FORWARD -i $LAN_IFACE -j ACCEPT
$IPTABLES -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT

#
#Log weird packets that don't match the above.
#

$IPTABLES -A FORWARD -m limit--limit 3/minute --limit-burst 3 \
-j LOG --log-level DEBUG --log-prefix "IPT FORWARD packet died:"

#
#4.1.6 OUTPUT chain
#

#
#Bad TCP packets we don't want
#

$IPTABLES -A OUTPUT -p tcp -j bad_tcp_packets

#
#Special OUTPUT rules to decide which IP's to allow.
#

$IPTABLES -A OUTPUT -p ALL -s $LO_IP -j ACCEPT
$IPTABLES -A OUTPUT -p ALL -o $LAN_IFACE -j ACCEPT
$IPTABLES -A OUTPUT -p ALL -o $INET_IFACE -j ACCEPT

#
#Log weird packets that don't match the above.
#

$IPTABLES -A OUTPUT -m limit --limit 3/minute --limit-burst 3 \
-j LOG --log-level DEBUG --log-prefix "IPT OUTPUT packet died:"

######
#4.2 nat table
#

#
#4.2.1 Set policies
#

#
#4.2.2 Create user specified chains
#

#
#4.2.3 Create content in user specified chains
#

#
#4.2.4 PREROUTING chain
#

#
#4.2.5 POSTROUTING chain
#

if [$PPPOE_PMTU=="yes"]; then
$IPTABLES -t nat -A POSTROUTING -p tcp --tcp-flags SYN,RSTSYN \
-j TCPMSS --clamp-mss-to-pmtu
fi
$IPTABLES -t nat -A POSTROUTING -o $INET_IFACE -j MASQUERADE

#
#4.2.6 OUTPUT chain
#

######
#4.3 mangle table
#

#
#4.3.1 Set policies
#

#
#4.3.2 Create user specified chains
#

#
#4.3.3 Create content in user specified chains
#

#
#4.3.4 PREROUTING chain
#

#
#4.3.5 INPUT chain
#

#
#4.3.6 FORWARD chain
#

#
#4.3.7 OUTPUT chain
#

#
#4.3.8 POSTROUTING chain
#

Example rc.flush-iptables script

#!/bin/sh
#
#rc.flush-iptables-Resets iptables to default values.
#
#Copyright (C) 2001 Oskar Andreasson <[email protected]>
#
#This program is free software; you can redistribute it and/or modify
#it under the terms of the GNU General Public License as published by
#the Free Software Foundation; version 2 of the License.
#
#This program is distributed in the hope that it will be useful,
#but WITHOUT ANY WARRANTY; without even the implied warranty of
#MERCHANTABILITY or FITNESS FOR A PARTICULAR PURPOSE. See the
#GNU General Public License for more details.
#
#You should have received a copy of the GNU General Public License
#along with this program or from the site that you downloaded it
#from; if not, write to the Free Software Foundation, Inc., 59 Temple
#Place, Suite 330, Boston, MA 02111-1307 USA
#
#
#Configurations
#
IPTABLES="/usr/sbin/iptables"

#
#reset the default policies in the filter table.
#
$IPTABLES -P INPUT ACCEPT
$IPTABLES -P FORWARD ACCEPT
$IPTABLES -P OUTPUT ACCEPT

#
#reset the default policies in the nat table.
#
$IPTABLES -t nat -P PREROUTING ACCEPT
$IPTABLES -t nat -P POSTROUTING ACCEPT
$IPTABLES -t nat -P OUTPUT ACCEPT

#
#reset the default policies in the mangle table.
#
$IPTABLES -t mangle -P PREROUTING ACCEPT
$IPTABLES -t mangle -P OUTPUT ACCEPT

#
#flush all the rules in the filter and nat tables.
#
$IPTABLES -F
$IPTABLES -t nat -F
$IPTABLES -t mangle -F
#
#erase all chains that's not default in filter and nat table.
#
$IPTABLES -X
$IPTABLES -t nat -X
$IPTABLES -t mangle -X

Example rc.test-iptables script

#!/bin/bash
#
#rc.test-iptables-test script for iptables chains and tables.
#
#Copyright (C) 2001 Oskar Andreasson <[email protected]>
#
#This program is free software; you can redistribute it and/or modify
#it under the terms of the GNU General Public License as published by
#the Free Software Foundation; version 2 of the License.
#
#This program is distributed in the hope that it will be useful,
#but WITHOUT ANY WARRANTY; without even the implied warranty of
#MERCHANTABILITY or FITNESS FOR A PARTICULAR PURPOSE. See the
#GNU General Public License for more details.
#
#You should have received a copy of the GNU General Public License
#along with this program or from the site that you downloaded it
#from; if not, write to the Free Software Foundation, Inc., 59 Temple
#Place, Suite 330, Boston, MA 02111-1307 USA
#

#
#Filter table, all chains
#
iptables -t filter -A INPUT -p icmp --icmp-type echo-request \
-j LOG --log-prefix="filter INPUT:"
iptables -t filter -A INPUT -p icmp --icmp-type echo-reply \
-j LOG --log-prefix="filter INPUT:"
iptables -t filter -A OUTPUT -p icmp --icmp-type echo-request \
-j LOG --log-prefix="filter OUTPUT:"
iptables -t filter -A OUTPUT -p icmp --icmp-type echo-reply \
-j LOG --log-prefix="filter OUTPUT:"
iptables -t filter -A FORWARD -p icmp --icmp-type echo-request \
-j LOG --log-prefix="filter FORWARD:"
iptables -t filter -A FORWARD -p icmp --icmp-type echo-reply \
-j LOG --log-prefix="filter FORWARD:"

#
#NAT table, all chains except OUTPUT which don't work.
#
iptables -t nat -A PREROUTING -p icmp --icmp-type echo-request \
-j LOG --log-prefix="nat PREROUTING:"
iptables -t nat -A PREROUTING -p icmp --icmp-type echo-reply \
-j LOG --log-prefix="nat PREROUTING:"
iptables -t nat -A POSTROUTING -p icmp --icmp-type echo-request \
-j LOG --log-prefix="nat POSTROUTING:"
iptables -t nat -A POSTROUTING -p icmp --icmp-type echo-reply \
-j LOG --log-prefix="nat POSTROUTING:"
iptables -t nat -A OUTPUT -p icmp --icmp-type echo-request \
-j LOG --log-prefix="nat OUTPUT:"
iptables -t nat -A OUTPUT -p icmp --icmp-type echo-reply \
-j LOG --log-prefix="nat OUTPUT:"

#
#Mangle table, all chains
#
iptables -t mangle -A PREROUTING -p icmp --icmp-type echo-request \
-j LOG --log-prefix="mangle PREROUTING:"
iptables -t mangle -A PREROUTING -p icmp --icmp-type echo-reply \
-j LOG --log-prefix="mangle PREROUTING:"
iptables -t mangle -A OUTPUT -p icmp --icmp-type echo-request \
-j LOG --log-prefix="mangle OUTPUT:"
iptables -t mangle -A OUTPUT -p icmp --icmp-type echo-reply \
-j LOG --log-prefix="mangle OUTPUT:"