#!/bin/bash

export IPT="iptables"

# Внешний интерфейс
export WAN=enp2s0
export WAN_IP=XXX.XXX.XXX.XXX

# Локальная сеть
export LAN1=enp3s0
export LAN1_IP_RANGE=192.168.88.0/24

# Очищаем правила
$IPT -F
$IPT -F -t nat
$IPT -F -t mangle
$IPT -X
$IPT -t nat -X
$IPT -t mangle -X

# Запрещаем все, что не разрешено
$IPT -P INPUT DROP
$IPT -P OUTPUT ACCEPT
$IPT -P FORWARD DROP

# Разрешаем localhost и локалку
$IPT -A INPUT -i lo -j ACCEPT
$IPT -A INPUT -i $LAN1 -j ACCEPT
$IPT -A OUTPUT -o lo -j ACCEPT
$IPT -A OUTPUT -o $LAN1 -j ACCEPT

echo "  Прокидываем порт 2222 на ssh NAS сервера"
$IPT -t nat -A PREROUTING --dst $WAN_IP -p tcp --dport 2222 -j DNAT --to-destination 192.168.88.180:22
$IPT -I FORWARD -i $WAN -o $LAN1 -d 192.168.88.180 -p tcp -m tcp --dport 22 -j ACCEPT

echo "  Включаем NAT"
$IPT -t nat -A POSTROUTING -s $LAN1_IP_RANGE -o $WAN -j SNAT --to-source $WAN_IP

$IPT -A INPUT -i $LAN1 -j ACCEPT

$IPT -A INPUT -p icmp --icmp-type echo-reply -j ACCEPT
$IPT -A INPUT -p icmp --icmp-type destination-unreachable -j ACCEPT
$IPT -A INPUT -p icmp --icmp-type time-exceeded -j ACCEPT
$IPT -A INPUT -p icmp --icmp-type echo-request -j ACCEPT

# Отбрасываем неопознанные пакеты
$IPT -A INPUT -m state --state INVALID -j DROP
$IPT -A FORWARD -m state --state INVALID -j DROP

# Отбрасываем нулевые пакеты
$IPT -A INPUT -p tcp --tcp-flags ALL NONE -j DROP

# Закрываемся от syn-flood атак
$IPT -A INPUT -p tcp ! --syn -m state --state NEW -j DROP
$IPT -A OUTPUT -p tcp ! --syn -m state --state NEW -j DROP

#$IPT -A INPUT -i $WAN -j ACCEPT
$IPT -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
$IPT -A INPUT -p tcp -m tcp ! --tcp-flags FIN,SYN,RST,ACK SYN -m state --state NEW -j DROP

echo "  Открываем порт для доступа по ssh"
$IPT -A INPUT -i $WAN -p tcp -m tcp --dport 22 -j ACCEPT
$IPT -A INPUT -i $WAN -p tcp -m tcp --dport 2222 -j ACCEPT

#$IPT -A INPUT -p tcp -m tcp --dport 25 -j ACCEPT
#$IPT -A INPUT -p tcp -m tcp --dport 465 -j ACCEPT
#$IPT -A INPUT -p tcp -m tcp --dport 110 -j ACCEPT
#$IPT -A INPUT -p tcp -m tcp --dport 995 -j ACCEPT
#$IPT -A INPUT -p tcp -m tcp --dport 143 -j ACCEPT
#$IPT -A INPUT -p tcp -m tcp --dport 993 -j ACCEPT

$IPT -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT

#$IPT -A FORWARD -i $LAN1 -o $WAN -s 192.168.88.0/24 -j ACCEPT
#$IPT -A FORWARD -i $WAN -o $LAN1 -s 192.168.88.0/24 -j ACCEPT

echo "  Отрываем порты для почты и Viber"
$IPT -A FORWARD -i $LAN1 -o $WAN -p tcp -m multiport --dports 5242,4244 -j ACCEPT
$IPT -A FORWARD -i $LAN1 -o $WAN -p udp -m multiport --dports 5243,9785 -j ACCEPT
$IPT -A FORWARD -i $LAN1 -o $WAN -p tcp -m multiport --dports 25,465,110,995,143,993 -j ACCEPT

#echo "  Открываем порт для ssh сервера файлпомойки"
#$IPT -A FORWARD -i $LAN1 -o $WAN -p tcp -m multiport --dport 2222 -m conntrack --ctstate NEW -j ACCEPT

echo "  Интернет на прямую бухгалтеру"
$IPT -A FORWARD -s 192.168.88.91/32 -i $LAN1 -o $WAN -j ACCEPT

echo "  Интернет на прямую файлпомойке"
$IPT -A FORWARD -s 192.168.88.180/32 -i $LAN1 -o $WAN -j ACCEPT

$IPT -A OUTPUT -o $LAN1 -j ACCEPT
$IPT -A OUTPUT -o $WAN -j ACCEPT
$IPT -A OUTPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
$IPT -A OUTPUT -p tcp -m tcp ! --tcp-flags FIN,SYN,RST,ACK SYN -m state --state NEW -j DROP

iptables  -t raw -A PREROUTING -p tcp -d oconner.biz --dport 8041 -j DROP

iptables -t raw -L PREROUTING -v --line-numbers

#! /bin/bash
# Сброс правил iptables
iptables -F
iptables -X
iptables -t nat -F
iptables -t nat -X
iptables -t mangle -F
iptables -t mangle -X
iptables -P INPUT ACCEPT
iptables -P FORWARD ACCEPT
iptables -P OUTPUT ACCEPT

# Разрешаем трафик на внутреннем петлевом интерфейсе (lo)
iptables -A INPUT -i lo -j ACCEPT

# Разрешаем доступ из внутренней сети в интернет
iptables -A FORWARD -i br0 -o ppp0 -j ACCEPT

# Включаем маскарадинг
iptables -t nat -A POSTROUTING -o ppp0 -s 192.168.0.0/24 -j MASQUERADE

# Разрешаем ответы из внешней сети
iptables -A FORWARD -i ppp0 -m state --state ESTABLISHED,RELATED -j ACCEPT

# Запрещаем доступ из и-нет во внутреннюю сеть
iptables -A FORWARD -i ppp0 -o br0 -j REJECT

*filter 
-A FORWARD -s 192.168.1.0/24 -i eth0 -o eth1 -j ACCEPT 
-A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT 
-A FORWARD -d 192.168.1.10/32 -i eth1 -p tcp -m tcp --dport 3389 -j ACCEPT 
-A FORWARD -d 192.168.1.20/32 -i eth1 -p tcp -m tcp --dport 3390 -j ACCEPT 
-A OUTPUT -d 8.8.8.8 -j REJECT 
COMMIT

-A FORWARD -s 192.168.1.0/24 -i eth0 -o eth1 -j ACCEPT 
-A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT

-A FORWARD -d 192.168.1.10/32 -i eth1 -p tcp -m tcp --dport 3389 -j ACCEPT 
-A FORWARD -d 192.168.1.20/32 -i eth1 -p tcp -m tcp --dport 3390 -j ACCEPT 

-A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT