package/firewall/files/uci_firewall.sh

   1 #!/bin/sh
   2 # Copyright (C) 2008 John Crispin <blogic@openwrt.org>
   3
   4 . /etc/functions.sh
   5
   6 IPTABLES="echo iptables"
   7 IPTABLES=iptables
   8
   9 config_clear
  10 include /lib/network
  11 scan_interfaces
  12
  13 CONFIG_APPEND=1
  14 config_load firewall
  15
  16 config fw_zones
  17 ZONE_LIST=$CONFIG_SECTION
  18
  19 DEF_INPUT=DROP
  20 DEF_OUTPUT=DROP
  21 DEF_FORWARD=DROP
  22
  23 load_policy() {
  24         config_get input $1 input
  25         config_get output $1 output
  26         config_get forward $1 forward
  27
  28         [ -z "$input" ] && input=$DEF_INPUT
  29         [ -z "$output" ] && output=$DEF_OUTPUT
  30         [ -z "$forward" ] && forward=$DEF_FORWARD
  31 }
  32
  33 create_zone() {
  34         local exists
  35
  36         [ "$1" == "loopback" ] && return
  37
  38         config_get exists $ZONE_LIST $1
  39         [ -n "$exists" ] && return
  40         config_set $ZONE_LIST $1 1
  41
  42         $IPTABLES -N zone_$1
  43         $IPTABLES -N zone_$1_ACCEPT
  44         $IPTABLES -N zone_$1_DROP
  45         $IPTABLES -N zone_$1_REJECT
  46         $IPTABLES -N zone_$1_forward
  47         $IPTABLES -A zone_$1_forward -j zone_$1_$5
  48         $IPTABLES -A zone_$1 -j zone_$1_$3
  49         $IPTABLES -A OUTPUT -j zone_$1_$4
  50         $IPTABLES -N zone_$1_nat -t nat
  51         $IPTABLES -N zone_$1_prerouting -t nat
  52         [ "$6" == "1" ] && $IPTABLES -t nat -A POSTROUTING -j zone_$2_nat
  53 }
  54
  55 addif() {
  56         logger "adding $1 to firewall zone $2"
  57         $IPTABLES -A INPUT -i $1 -j zone_$2
  58         $IPTABLES -I zone_$2_ACCEPT 1 -o $1 -j ACCEPT
  59         $IPTABLES -I zone_$2_DROP 1 -o $1 -j DROP
  60         $IPTABLES -I zone_$2_REJECT 1 -o $1 -j REJECT
  61         $IPTABLES -I zone_$2_ACCEPT 1 -i $1 -j ACCEPT
  62         $IPTABLES -I zone_$2_DROP 1 -i $1 -j DROP
  63         $IPTABLES -I zone_$2_REJECT 1 -i $1 -j REJECT
  64         $IPTABLES -I zone_$2_nat 1 -t nat -o $1 -j MASQUERADE
  65         $IPTABLES -I PREROUTING 1 -t nat -i $1 -j zone_$2_prerouting
  66         $IPTABLES -A FORWARD -i $1 -j zone_$2_forward
  67 }
  68
  69 delif() {
  70         logger "removing $1 from firewall zone $2"
  71         $IPTABLES -D INPUT -i $1 -j zone_$2
  72         $IPTABLES -D zone_$2_ACCEPT -o $1 -j ACCEPT
  73         $IPTABLES -D zone_$2_DROP -o $1 -j DROP
  74         $IPTABLES -D zone_$2_REJECT -o $1 -j REJECT
  75         $IPTABLES -D zone_$2_ACCEPT -i $1 -j ACCEPT
  76         $IPTABLES -D zone_$2_DROP -i $1 -j DROP
  77         $IPTABLES -D zone_$2_REJECT -i $1 -j REJECT
  78         $IPTABLES -D zone_$2_nat -t nat -o $1 -j MASQUERADE
  79         $IPTABLES -D PREROUTING -t nat -i $1 -j zone_$2_prerouting
  80         $IPTABLES -D FORWARD -i $1 -j zone_$2_forward
  81 }
  82
  83 load_synflood() {
  84         echo "Loading synflood protection"
  85         $IPTABLES -N SYN_FLOOD
  86         $IPTABLES -A SYN_FLOOD -p tcp --syn -m limit --limit ${1}/second --limit-burst $2 -j RETURN
  87         $IPTABLES -A SYN_FLOOD -p ! tcp -j RETURN
  88         $IPTABLES -A SYN_FLOOD -p tcp ! --syn -j RETURN
  89         $IPTABLES -A SYN_FLOOD -j LOG --log-prefix "syn_flood: "
  90         $IPTABLES -A SYN_FLOOD -j DROP
  91         $IPTABLES -A INPUT -p tcp --syn -j SYN_FLOOD
  92 }
  93
  94 fw_defaults() {
  95         load_policy $1
  96         DEF_INPUT=$input
  97         DEF_OUTPUT=$output
  98         DEF_FORWARD=$forward
  99
 100         echo 1 > /proc/sys/net/ipv4/tcp_syncookies
 101         for f in /proc/sys/net/ipv4/conf/*/accept_redirects
 102         do
 103                 echo 0 > $f
 104         done
 105         for f in /proc/sys/net/ipv4/conf/*/accept_source_route
 106         do
 107                 echo 0 > $f
 108         done
 109
 110         $IPTABLES -F
 111         $IPTABLES -t nat -F
 112         $IPTABLES -t mangle -F
 113         $IPTABLES -X -t nat
 114         $IPTABLES -X
 115
 116         $IPTABLES -P INPUT $input
 117         $IPTABLES -A INPUT -m state --state INVALID -j DROP
 118         $IPTABLES -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
 119
 120         $IPTABLES -P OUTPUT $output
 121         $IPTABLES -A OUTPUT -m state --state INVALID -j DROP
 122         $IPTABLES -A OUTPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
 123
 124         $IPTABLES -P FORWARD $forward
 125         $IPTABLES -A FORWARD -m state --state INVALID -j DROP
 126         $IPTABLES -A FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu
 127         $IPTABLES -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT
 128
 129         $IPTABLES -A INPUT -i lo -j ACCEPT
 130         $IPTABLES -A OUTPUT -o lo -j ACCEPT
 131
 132         config_get syn_flood $1 syn_flood
 133         config_get syn_rate $1 syn_rate
 134         config_get syn_burst $1 syn_burst
 135
 136         [ -z "$syn_rate" ] && syn_rate=25
 137         [ -z "$syn_burst" ] && syn_burst=50
 138         [ "$syn_flood" == "1" ] && load_synflood $syn_rate $syn_burst
 139 }
 140
 141 fw_zone() {
 142         local name
 143         local network
 144         local masq
 145
 146         config_get name $1 name
 147         config_get network $1 network
 148         config_get masq $1 masq
 149         load_policy $1
 150
 151         [ -z "$network" ] && network=$name
 152         create_zone "$name" "$network" "$input" "$output" "$forward" "$masq"
 153 }
 154
 155 fw_rule() {
 156         local src
 157         local src_ip
 158         local src_mac
 159         local src_port
 160         local src_mac
 161         local dest
 162         local dest_ip
 163         local dest_port
 164         local proto
 165         local target
 166         local ruleset
 167
 168         config_get src $1 src
 169         config_get src_ip $1 src_ip
 170         config_get src_mac $1 src_mac
 171         config_get src_port $1 src_port
 172         config_get dest $1 dest
 173         config_get dest_ip $1 dest_ip
 174         config_get dest_port $1 dest_port
 175         config_get proto $1 proto
 176         config_get target $1 target
 177         config_get ruleset $1 ruleset
 178
 179         [ -z "$target" ] && target=DROP
 180         [ -n "$src" ] && ZONE=zone_$src || ZONE=INPUT
 181         [ -n "$dest" ] && TARGET=zone_${dest}_$target || TARGET=$target
 182         [ -n "$dest_port" -a -z "$proto" ] && { \
 183                 echo "dport may only be used it proto is defined"; return; }
 184         [ -n "$src_port" -a -z "$proto" ] && { \
 185                 echo "sport may only be used it proto is defined"; return; }
 186         $IPTABLES -I $ZONE 1 \
 187                 ${proto:+-p $proto} \
 188                 ${src_ip:+-s $src_ip} \
 189                 ${src_port:+--sport $src_port} \
 190                 ${src_mac:+-m mac --mac-source $src_mac} \
 191                 ${dest_ip:+-d $dest_ip} \
 192                 ${dest_port:+--dport $dest_port} \
 193                 -j $TARGET
 194 }
 195
 196 fw_forwarding() {
 197         local src
 198         local dest
 199         local masq
 200
 201         config_get src $1 src
 202         config_get dest $1 dest
 203         [ -n "$src" ] && z_src=zone_${src}_forward || z_src=FORWARD
 204         [ -n "$dest" ] && z_dest=zone_${dest}_ACCEPT || z_dest=ACCEPT
 205         $IPTABLES -I $z_src 1 -j $z_dest
 206 }
 207
 208 fw_redirect() {
 209         local src
 210         local src_ip
 211         local src_port
 212         local src_dport
 213         local src_mac
 214         local dest_ip
 215         local dest_port
 216         local proto
 217
 218         config_get src $1 src
 219         config_get src_ip $1 src_ip
 220         config_get src_port $1 src_port
 221         config_get src_dport $1 src_dport
 222         config_get src_mac $1 src_mac
 223         config_get dest_ip $1 dest_ip
 224         config_get dest_port $1 dest_port
 225         config_get proto $1 proto
 226         [ -z "$src" -o -z "$dest_ip" ] && { \
 227                 echo "redirect needs src and dest_ip"; return ; }
 228         [ -n "$dest_port" -a -z "$proto" ] && { \
 229                 echo "dport may only be used it proto is defined"; return; }
 230         [ -n "$src_port" -a -z "$proto" ] && { \
 231                 echo "sport may only be used it proto is defined"; return; }
 232
 233         src_port_first=${src_port%-*}
 234         src_port_last=${src_port#*-}
 235         [ "$src_port_first" -ne "$src_port_last" ] && { \
 236                 src_port="$src_port_first:$src_port_last"; }
 237
 238         src_dport_first=${src_dport%-*}
 239         src_dport_last=${src_dport#*-}
 240         [ "$src_dport_first" -ne "$src_dport_last" ] && { \
 241                 src_dport="$src_dport_first:$src_dport_last"; }
 242
 243         $IPTABLES -A zone_${src}_prerouting -t nat \
 244                 ${proto:+-p $proto} \
 245                 ${src_ip:+-s $src_ip} \
 246                 ${src_port:+--sport $src_port} \
 247                 ${src_dport:+--dport $src_dport} \
 248                 ${src_mac:+-m mac --mac-source $src_mac} \
 249                 -j DNAT --to-destination $dest_ip${dest_port:+:$dest_port}
 250
 251         dest_port_first=${dest_port%-*}
 252         dest_port_last=${dest_port#*-}
 253         [ "$dest_port_first" -ne "$dest_port_last" ] && { \
 254                 dest_port="$dest_port_first:$dest_port_last"; }
 255
 256         $IPTABLES -I zone_${src}_forward 1 \
 257                 ${proto:+-p $proto} \
 258                 -d $dest_ip \
 259                 ${src_ip:+-s $src_ip} \
 260                 ${src_port:+--sport $src_port} \
 261                 ${dest_port:+--dport $dest_port} \
 262                 ${src_mac:+-m mac --mac-source $src_mac} \
 263                 -j ACCEPT
 264 }
 265
 266 fw_include() {
 267         local path
 268         config_get path $1 path
 269         [ -e $path ] && . $path
 270 }
 271
 272 fw_addif() {
 273         local up
 274         local ifname
 275         config_get up $1 up
 276         config_get ifname $1 ifname
 277         [ -n "$up" ] || return 0
 278         (ACTION="ifup" INTERFACE="$1" . /etc/hotplug.d/iface/20-firewall)
 279 }
 280
 281 fw_custom_chains() {
 282         $IPTABLES -N input_rule
 283         $IPTABLES -N output_rule
 284         $IPTABLES -N forward_rule
 285         $IPTABLES -N prerouting_rule -t nat
 286         $IPTABLES -N postrouting_rule -t nat
 287         $IPTABLES -A INPUT -j input_rule
 288         $IPTABLES -A OUTPUT -j output_rule
 289         $IPTABLES -A FORWARD -j forward_rule
 290         $IPTABLES -A PREROUTING -t nat -j prerouting_rule
 291         $IPTABLES -A POSTROUTING -t nat -j postrouting_rule
 292 }
 293
 294 fw_init() {
 295         echo "Loading defaults"
 296         config_foreach fw_defaults defaults
 297         echo "Loading zones"
 298         config_foreach fw_zone zone
 299         echo "Loading rules"
 300         config_foreach fw_rule rule
 301         echo "Loading forwarding"
 302         config_foreach fw_forwarding forwarding
 303         echo "Loading redirects"
 304         config_foreach fw_redirect redirect
 305         echo "Loading includes"
 306         config_foreach fw_include include
 307         echo "Adding custom chains"
 308         fw_custom_chains
 309
 310         uci_set_state firewall core "" firewall_state
 311         uci_set_state firewall core loaded 1
 312         unset CONFIG_APPEND
 313         config_load network
 314         config_foreach fw_addif interface
 315 }
 316
 317 fw_stop() {
 318         $IPTABLES -F
 319         $IPTABLES -t nat -F
 320         $IPTABLES -t mangle -F
 321         $IPTABLES -X -t nat
 322         $IPTABLES -X
 323         $IPTABLES -P INPUT ACCEPT
 324         $IPTABLES -P OUTPUT ACCEPT
 325         $IPTABLES -P FORWARD ACCEPT
 326 }