package/network/config/firewall/files/firewall.config

   1 config defaults
   2         option syn_flood        1
   3         option input            ACCEPT
   4         option output           ACCEPT
   5         option forward          REJECT
   6 # Uncomment this line to disable ipv6 rules
   7 #       option disable_ipv6     1
   8
   9 config zone
  10         option name             lan
  11         option network          'lan'
  12         option input            ACCEPT
  13         option output           ACCEPT
  14         option forward          REJECT
  15
  16 config zone
  17         option name             wan
  18         option network          'wan'
  19         option input            REJECT
  20         option output           ACCEPT
  21         option forward          REJECT
  22         option masq             1
  23         option mtu_fix          1
  24
  25 config forwarding
  26         option src              lan
  27         option dest             wan
  28
  29 # We need to accept udp packets on port 68,
  30 # see https://dev.openwrt.org/ticket/4108
  31 config rule
  32         option name             Allow-DHCP-Renew
  33         option src              wan
  34         option proto            udp
  35         option dest_port        68
  36         option target           ACCEPT
  37         option family           ipv4
  38
  39 # Allow IPv4 ping
  40 config rule
  41         option name             Allow-Ping
  42         option src              wan
  43         option proto            icmp
  44         option icmp_type        echo-request
  45         option family           ipv4
  46         option target           ACCEPT
  47
  48 # Allow DHCPv6 replies
  49 # see https://dev.openwrt.org/ticket/10381
  50 config rule
  51         option name             Allow-DHCPv6
  52         option src              wan
  53         option proto            udp
  54         option src_ip           fe80::/10
  55         option src_port         547
  56         option dest_ip          fe80::/10
  57         option dest_port        546
  58         option family           ipv6
  59         option target           ACCEPT
  60
  61 # Allow essential incoming IPv6 ICMP traffic
  62 config rule
  63         option name             Allow-ICMPv6-Input
  64         option src              wan
  65         option proto    icmp
  66         list icmp_type          echo-request
  67         list icmp_type          echo-reply
  68         list icmp_type          destination-unreachable
  69         list icmp_type          packet-too-big
  70         list icmp_type          time-exceeded
  71         list icmp_type          bad-header
  72         list icmp_type          unknown-header-type
  73         list icmp_type          router-solicitation
  74         list icmp_type          neighbour-solicitation
  75         list icmp_type          router-advertisement
  76         list icmp_type          neighbour-advertisement
  77         option limit            1000/sec
  78         option family           ipv6
  79         option target           ACCEPT
  80
  81 # Allow essential forwarded IPv6 ICMP traffic
  82 config rule
  83         option name             Allow-ICMPv6-Forward
  84         option src              wan
  85         option dest             *
  86         option proto            icmp
  87         list icmp_type          echo-request
  88         list icmp_type          echo-reply
  89         list icmp_type          destination-unreachable
  90         list icmp_type          packet-too-big
  91         list icmp_type          time-exceeded
  92         list icmp_type          bad-header
  93         list icmp_type          unknown-header-type
  94         option limit            1000/sec
  95         option family           ipv6
  96         option target           ACCEPT
  97
  98 # Block ULA-traffic from leaking out
  99 config rule
 100         option name             Enforce-ULA-Border-Src
 101         option src              *
 102         option dest             wan
 103         option proto            all
 104         option src_ip           fc00::/7
 105         option family           ipv6
 106         option target           REJECT
 107
 108 config rule
 109         option name             Enforce-ULA-Border-Dest
 110         option src              *
 111         option dest             wan
 112         option proto            all
 113         option dest_ip          fc00::/7
 114         option family           ipv6
 115         option target           REJECT
 116
 117 # include a file with users custom iptables rules
 118 config include
 119         option path /etc/firewall.user
 120
 121
 122 ### EXAMPLE CONFIG SECTIONS
 123 # do not allow a specific ip to access wan
 124 #config rule
 125 #       option src              lan
 126 #       option src_ip   192.168.45.2
 127 #       option dest             wan
 128 #       option proto    tcp
 129 #       option target   REJECT
 130
 131 # block a specific mac on wan
 132 #config rule
 133 #       option dest             wan
 134 #       option src_mac  00:11:22:33:44:66
 135 #       option target   REJECT
 136
 137 # block incoming ICMP traffic on a zone
 138 #config rule
 139 #       option src              lan
 140 #       option proto    ICMP
 141 #       option target   DROP
 142
 143 # port redirect port coming in on wan to lan
 144 #config redirect
 145 #       option src                      wan
 146 #       option src_dport        80
 147 #       option dest                     lan
 148 #       option dest_ip          192.168.16.235
 149 #       option dest_port        80
 150 #       option proto            tcp
 151
 152 # port redirect of remapped ssh port (22001) on wan
 153 #config redirect
 154 #       option src              wan
 155 #       option src_dport        22001
 156 #       option dest             lan
 157 #       option dest_port        22
 158 #       option proto            tcp
 159
 160 # allow IPsec/ESP and ISAKMP passthrough
 161 #config rule
 162 #       option src              wan
 163 #       option dest             lan
 164 #       option protocol         esp
 165 #       option target           ACCEPT
 166
 167 #config rule
 168 #       option src              wan
 169 #       option dest             lan
 170 #       option src_port         500
 171 #       option dest_port        500
 172 #       option proto            udp
 173 #       option target           ACCEPT
 174
 175 ### FULL CONFIG SECTIONS
 176 #config rule
 177 #       option src              lan
 178 #       option src_ip   192.168.45.2
 179 #       option src_mac  00:11:22:33:44:55
 180 #       option src_port 80
 181 #       option dest             wan
 182 #       option dest_ip  194.25.2.129
 183 #       option dest_port        120
 184 #       option proto    tcp
 185 #       option target   REJECT
 186
 187 #config redirect
 188 #       option src              lan
 189 #       option src_ip   192.168.45.2
 190 #       option src_mac  00:11:22:33:44:55
 191 #       option src_port         1024
 192 #       option src_dport        80
 193 #       option dest_ip  194.25.2.129
 194 #       option dest_port        120
 195 #       option proto    tcp