package/firewall/files/uci_firewall.sh

   1 #!/bin/sh
   2 # Copyright (C) 2008 John Crispin <blogic@openwrt.org>
   3
   4 . /etc/functions.sh
   5
   6 IPTABLES="echo iptables"
   7 IPTABLES=iptables
   8
   9 config_clear
  10 include /lib/network
  11 scan_interfaces
  12
  13 CONFIG_APPEND=1
  14 config_load firewall
  15
  16 config fw_zones
  17 ZONE_LIST=$CONFIG_SECTION
  18
  19 DEF_INPUT=DROP
  20 DEF_OUTPUT=DROP
  21 DEF_FORWARD=DROP
  22
  23 load_policy() {
  24         config_get input $1 input
  25         config_get output $1 output
  26         config_get forward $1 forward
  27
  28         [ -z "$input" ] && input=$DEF_INPUT
  29         [ -z "$output" ] && output=$DEF_OUTPUT
  30         [ -z "$forward" ] && forward=$DEF_FORWARD
  31 }
  32
  33 create_zone() {
  34         local exists
  35
  36         [ "$1" == "loopback" ] && return
  37
  38         config_get exists $ZONE_LIST $1
  39         [ -n "$exists" ] && return
  40         config_set $ZONE_LIST $1 1
  41
  42         $IPTABLES -N zone_$1
  43         $IPTABLES -N zone_$1_ACCEPT
  44         $IPTABLES -N zone_$1_DROP
  45         $IPTABLES -N zone_$1_REJECT
  46         $IPTABLES -N zone_$1_forward
  47         $IPTABLES -A zone_$1_forward -j zone_$1_$5
  48         $IPTABLES -A zone_$1 -j zone_$1_$3
  49         $IPTABLES -A OUTPUT -j zone_$1_$4
  50         $IPTABLES -N zone_$1_nat -t nat
  51         $IPTABLES -N zone_$1_prerouting -t nat
  52         [ "$6" == "1" ] && $IPTABLES -t nat -A POSTROUTING -j zone_$2_nat
  53 }
  54
  55 addif() {
  56         logger "adding $1 to firewall zone $2"
  57         $IPTABLES -A INPUT -i $1 -j zone_$2
  58         $IPTABLES -I zone_$2_ACCEPT 1 -o $1 -j ACCEPT
  59         $IPTABLES -I zone_$2_DROP 1 -o $1 -j DROP
  60         $IPTABLES -I zone_$2_REJECT 1 -o $1 -j REJECT
  61         $IPTABLES -I zone_$2_ACCEPT 1 -i $1 -j ACCEPT
  62         $IPTABLES -I zone_$2_DROP 1 -i $1 -j DROP
  63         $IPTABLES -I zone_$2_REJECT 1 -i $1 -j REJECT
  64         $IPTABLES -I zone_$2_nat 1 -t nat -o $1 -j MASQUERADE
  65         $IPTABLES -I PREROUTING 1 -t nat -i $1 -j zone_$2_prerouting
  66         $IPTABLES -A FORWARD -i $1 -j zone_$2_forward
  67 }
  68
  69 delif() {
  70         logger "removing $1 from firewall zone $2"
  71         $IPTABLES -D INPUT -i $1 -j zone_$2
  72         $IPTABLES -D zone_$2_ACCEPT -o $1 -j ACCEPT
  73         $IPTABLES -D zone_$2_DROP -o $1 -j DROP
  74         $IPTABLES -D zone_$2_REJECT -o $1 -j REJECT
  75         $IPTABLES -D zone_$2_ACCEPT -i $1 -j ACCEPT
  76         $IPTABLES -D zone_$2_DROP -i $1 -j DROP
  77         $IPTABLES -D zone_$2_REJECT -i $1 -j REJECT
  78         $IPTABLES -D zone_$2_nat -t nat -o $1 -j MASQUERADE
  79         $IPTABLES -D PREROUTING -t nat -i $1 -j zone_$2_prerouting
  80         $IPTABLES -D FORWARD -i $1 -j zone_$2_forward
  81 }
  82
  83 load_synflood() {
  84         echo "Loading synflood protection"
  85         $IPTABLES -N SYN_FLOOD
  86         $IPTABLES -A SYN_FLOOD -p tcp --syn -m limit --limit ${1}/second --limit-burst $2 -j RETURN
  87         $IPTABLES -A SYN_FLOOD -p ! tcp -j RETURN
  88         $IPTABLES -A SYN_FLOOD -p tcp ! --syn -j RETURN
  89         $IPTABLES -A SYN_FLOOD -j LOG --log-prefix "syn_flood: "
  90         $IPTABLES -A SYN_FLOOD -j DROP
  91         $IPTABLES -A INPUT -p tcp --syn -j SYN_FLOOD
  92 }
  93
  94 fw_defaults() {
  95         load_policy $1
  96         DEF_INPUT=$input
  97         DEF_OUTPUT=$output
  98         DEF_FORWARD=$forward
  99
 100         echo 1 > /proc/sys/net/ipv4/tcp_syncookies
 101         for f in /proc/sys/net/ipv4/conf/*/accept_redirects
 102         do
 103                 echo 0 > $f
 104         done
 105         for f in /proc/sys/net/ipv4/conf/*/accept_source_route
 106         do
 107                 echo 0 > $f
 108         done
 109
 110         $IPTABLES -F
 111         $IPTABLES -t nat -F
 112         $IPTABLES -t mangle -F
 113         $IPTABLES -X -t nat
 114         $IPTABLES -X
 115
 116         $IPTABLES -P INPUT $input
 117         $IPTABLES -A INPUT -m state --state INVALID -j DROP
 118         $IPTABLES -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
 119
 120         $IPTABLES -P OUTPUT $output
 121         $IPTABLES -A OUTPUT -m state --state INVALID -j DROP
 122         $IPTABLES -A OUTPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
 123
 124         $IPTABLES -P FORWARD $forward
 125         $IPTABLES -A FORWARD -m state --state INVALID -j DROP
 126         $IPTABLES -A FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu
 127         $IPTABLES -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT
 128
 129         $IPTABLES -A INPUT -i lo -j ACCEPT
 130         $IPTABLES -A OUTPUT -o lo -j ACCEPT
 131
 132         config_get syn_flood $1 syn_flood
 133         config_get syn_rate $1 syn_rate
 134         config_get syn_burst $1 syn_burst
 135
 136         [ -z "$syn_rate" ] && syn_rate=25
 137         [ -z "$syn_burst" ] && syn_burst=50
 138         [ "$syn_flood" == "1" ] && load_synflood $syn_rate $syn_burst
 139 }
 140
 141 fw_zone() {
 142         local name
 143         local network
 144         local masq
 145
 146         config_get name $1 name
 147         config_get network $1 network
 148         config_get masq $1 masq
 149         load_policy $1
 150
 151         [ -z "$network" ] && network=$name
 152         create_zone "$name" "$network" "$input" "$output" "$forward" "$masq"
 153 }
 154
 155 fw_rule() {
 156         local src
 157         local src_ip
 158         local src_mac
 159         local src_port
 160         local src_mac
 161         local dest
 162         local dest_ip
 163         local dest_port
 164         local proto
 165         local target
 166         local ruleset
 167
 168         config_get src $1 src
 169         config_get src_ip $1 src_ip
 170         config_get src_mac $1 src_mac
 171         config_get src_port $1 src_port
 172         config_get dest $1 dest
 173         config_get dest_ip $1 dest_ip
 174         config_get dest_port $1 dest_port
 175         config_get proto $1 proto
 176         config_get target $1 target
 177         config_get ruleset $1 ruleset
 178
 179         [ -z "$target" ] && target=DROP
 180         [ -n "$src" ] && ZONE=zone_$src || ZONE=INPUT
 181         [ -n "$dest" ] && TARGET=zone_${dest}_$target || TARGET=$target
 182         [ -n "$dest_port" -a -z "$proto" ] && { \
 183                 echo "dport may only be used it proto is defined"; return; }
 184         $IPTABLES -I $ZONE 1 \
 185                 ${proto:+-p $proto} \
 186                 ${src_ip:+-s $src_ip} \
 187                 ${src_port:+--sport $src_port} \
 188                 ${src_mac:+-m mac --mac-source $src_mac} \
 189                 ${dest_ip:+-d $dest_ip} \
 190                 ${dest_port:+--dport $dest_port} \
 191                 -j $TARGET
 192 }
 193
 194 fw_forwarding() {
 195         local src
 196         local dest
 197         local masq
 198
 199         config_get src $1 src
 200         config_get dest $1 dest
 201         [ -n "$src" ] && z_src=zone_${src}_forward || z_src=FORWARD
 202         [ -n "$dest" ] && z_dest=zone_${dest}_ACCEPT || z_dest=ACCEPT
 203         $IPTABLES -I $z_src 1 -j $z_dest
 204 }
 205
 206 fw_redirect() {
 207         local src
 208         local src_ip
 209         local src_port
 210         local src_dport
 211         local src_mac
 212         local dest_ip
 213         local dest_port
 214         local protocol
 215
 216         config_get src $1 src
 217         config_get src_ip $1 src_ip
 218         config_get src_port $1 src_port
 219         config_get src_dport $1 src_dport
 220         config_get src_mac $1 src_mac
 221         config_get dest_ip $1 dest_ip
 222         config_get dest_port $1 dest_port
 223         config_get protocol $1 protocol
 224         [ -z "$src" -o -z "$dest_ip" ] && { \
 225                 echo "redirect needs src and dest_ip"; return ; }
 226         [ -n "$dest_port" -a -z "$protocol" ] && { \
 227                 echo "dport may only be used it proto is defined"; return; }
 228         $IPTABLES -A zone_${src}_prerouting -t nat \
 229                 ${protocol:+-p $protocol} \
 230                 ${src_ip:+-s $src_ip} \
 231                 ${src_port:+--sport $src_port} \
 232                 ${src_dport:+--dport $src_dport} \
 233                 ${src_mac:+-m mac --mac-source $src_mac} \
 234                 -j DNAT --to-destination $dest_ip${dest_port:+:$dest_port}
 235         $IPTABLES -I zone_${src}_forward 1 \
 236                 ${protocol:+-p $protocol} \
 237                 -d $dest_ip \
 238                 ${src_ip:+-s $src_ip} \
 239                 ${src_port:+--sport $src_port} \
 240                 ${dest_port:+--dport $dest_port} \
 241                 ${src_mac:+-m mac --mac-source $src_mac} \
 242                 -j ACCEPT
 243 }
 244
 245 fw_include() {
 246         local path
 247         config_get path $1 path
 248         [ -e $path ] && . $path
 249 }
 250
 251 fw_addif() {
 252         local up
 253         local ifname
 254         config_get up $1 up
 255         config_get ifname $1 ifname
 256         [ -n "$up" ] || return 0
 257         (ACTION="ifup" INTERFACE="$1" . /etc/hotplug.d/iface/20-firewall)
 258 }
 259
 260 fw_init() {
 261         echo "Loading defaults"
 262         config_foreach fw_defaults defaults
 263         echo "Loading zones"
 264         config_foreach fw_zone zone
 265         echo "Loading rules"
 266         config_foreach fw_rule rule
 267         echo "Loading forwarding"
 268         config_foreach fw_forwarding forwarding
 269         echo "Loading redirects"
 270         config_foreach fw_redirect redirect
 271         echo "Loading includes"
 272         config_foreach fw_include include
 273
 274         uci_set_state firewall core "" firewall_state
 275         uci_set_state firewall core loaded 1
 276         unset CONFIG_APPEND
 277         config_load network
 278         config_foreach fw_addif interface
 279 }
 280
 281 fw_stop() {
 282         $IPTABLES -F
 283         $IPTABLES -t nat -F
 284         $IPTABLES -t mangle -F
 285         $IPTABLES -X -t nat
 286         $IPTABLES -X
 287         $IPTABLES -P INPUT ACCEPT
 288         $IPTABLES -P OUTPUT ACCEPT
 289         $IPTABLES -P FORWARD ACCEPT
 290 }