#!/bin/sh
#
###############################################################################
# NOM : /etc/parefeu.sh
#
# COMMENTAIRE : par feu 
# 
# Créé le : dimanche 11 Juin 2006					
###############################################################################


echo " date : `date +%d/%m/%Y`  et il est `date +%H:%M:%S`"
echo " "

 export LAN=eth1   # interface connecté a  2quarante 
 export WAN=ppp0   # internet 
 export LO=lo      # boucle de retour   (loopback )


 iptables -t filter -F
 iptables -t nat -F
 iptables -t mangle -F

 iptables -t filter -X
 iptables -t nat -X
 iptables -t mangle -X



# tout est rejeté 
iptables -t filter -P INPUT DROP
iptables -t filter -P OUTPUT DROP
iptables -t filter -P FORWARD DROP


#on autorise le trafic sur lo 
iptables -t filter -A OUTPUT -o ${LO} -s 127.0.0.0/8 -d 127.0.0.0/8 -j ACCEPT
iptables -t filter -A INPUT  -i ${LO} -s 127.0.0.0/8 -d 127.0.0.0/8 -j ACCEPT
#iptables -A INPUT -i ${L0} -j ACCEPT
#iptables -A OUTPUT -o ${L0} -j ACCEPT

#pour accepter tout ce qui se passe sur le réseau local 192.168.1.0/24 :
iptables -A INPUT -s 192.168.1.0/24 -j ACCEPT
iptables -A OUTPUT -d 192.168.1.0/24 -j ACCEPT
iptables -A FORWARD -s 192.168.1.0/24 -j ACCEPT 



#SSH sur husss sur le port 665 
iptables -A INPUT -p TCP --dport 665 -i ${WAN} -j ACCEPT
iptables -A OUTPUT -p TCP --dport 665 -o ${WAN} -j ACCEPT

#apache sur husss sur le port 80
iptables -A INPUT -p TCP --dport 80 -i ${WAN} -j ACCEPT
iptables -A OUTPUT -p TCP --dport 80 -o ${WAN} -j ACCEPT
 
#SSH (client)
iptables -A INPUT -i ${WAN} --protocol tcp --source-port 22 -m state --state ESTABLISHED -j ACCEPT
iptables -A OUTPUT -o ${WAN} --protocol tcp --destination-port 22 -m state --state NEW,ESTABLISHED -j ACCEPT





#pour accepter de sufer sur le web
iptables -A INPUT -i ${WAN} -p tcp --sport www -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A OUTPUT -o ${WAN} -p tcp --dport www -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT





#(Ajoutez les règles pour le NAT)
iptables -I FORWARD -i ${LAN} -d 192.168.0.0/255.255.0.0 -j DROP
iptables -A FORWARD -i ${LAN} -s 192.168.0.0/255.255.0.0 -j ACCEPT
iptables -A FORWARD -i ${WAN} -d 192.168.0.0/255.255.0.0 -j ACCEPT
iptables -t nat -A POSTROUTING -o ${WAN} -j MASQUERADE

#(Pour Indiquer au noyau d'effectuer le transfert IP)
 echo 1 > /proc/sys/net/ipv4/ip_forward
 for f in /proc/sys/net/ipv4/conf/*/rp_filter ; do echo 1 > $f ; done


#pour rediriger le ssh dde husss vers 2quarante
iptables -t nat -A PREROUTING -p tcp --dport 666 -i ${WAN} -j DNAT --to 192.168.0.175:666
#idem mais ftp 
iptables -t nat -A PREROUTING -p tcp --dport 60648 -i ${WAN} -j DNAT --to 192.168.0.175:60648
#idem pour apache
iptables -t nat -A PREROUTING -p tcp --dport 7824 -i ${WAN} -j DNAT --to 192.168.0.175:80
#pour vnc 
iptables -t nat -A PREROUTING -p tcp --dport 5900 -i ${WAN} -j DNAT --to 192.168.0.175:5900


echo "Sur 2quarante:"
echo "ssh 666"
echo "ftp 60648"
echo "apache 7824"
echo "vnc 5900"
echo "****************************************"
echo "Sur husss:"
echo "apache 80"
echo "ftp 60647"
echo "ssh 665"