#!/bin/sh                                                                                                      
### BEGIN INIT INFO                                                                                            
# Default-Start:     2 3 4 5                                                                                   
# Default-Stop:      0 1 6                                                                                     
# Short-Description: Firewall and forwarding                                                                   
# Description:       Firewall and forwarding                                                                   
### END INIT INFO                                                                                              
                                                                                                               
case "$1" in                                                                                                   
  start)                                                                                                       
  ;;                                                                                                           
  restart)                                                                                                     
  ;;                                                                                                           
  stop)                                                                                                        
    exit 1                                                                                                     
  ;;                                                                                                           
  *)                                                                                                           
    echo "Usage: $0 {start|stop|restart}"
    exit 1
    ;;
esac

ALLOWED_HOSTS="10.1.28.32 "\
"10.1.28.35 "\
"169.254.12.113 "\
"192.168.2.119"

IPT=iptables

# Определяем интерфейсы
EXTIF=eth1
INTIF1=eth0

echo "Включается маршрутизация c $EXTIF в локальную сеть $INTIF1"
echo "Список машин с разрешённым доступом в интернет: $(echo $ALLOWED_HOSTS | sed 's/ /; /g')"

# Включаем форвардинг ip в ядре.
echo 1 > /proc/sys/net/ipv4/ip_forward

# Сбросить правила и удалить цепочки 
$IPT -F
$IPT -t nat -F
$IPT -t mangle -F
$IPT -X
$IPT -t nat -X
$IPT -t mangle -X

# ========
# Общие правила
# ========

# Политики
$IPT -P FORWARD DROP
$IPT -P INPUT ACCEPT
$IPT -P OUTPUT ACCEPT

# Замена TTL (Делаем такой, какой был до маршрутизации)
$IPT -t mangle -A PREROUTING -i $INTIF1 -j TTL --ttl-inc 1
# Включаем маскарадинг для разрешения доступа в интернет
$IPT -t nat -A POSTROUTING -o $EXTIF -j MASQUERADE
#$IPT -t nat -A POSTROUTING -o $INTIF1 -j MASQUERADE
# Proper MTU
$IPT -t mangle -A POSTROUTING -p tcp --tcp-flags SYN,RST SYN -o $EXTIF -j TCPMSS --clamp-mss-to-pmtu 

# ========
# Правила для отдельных компов
# ========

# Форвардить сетевой траффик с $INTIF1 на интернетовский интерфейс $EXTIF и обратно
# А также траффик в/из локалки
for HOST in $ALLOWED_HOSTS
do
  # IPP
  #$IPT -A INPUT -p tcp --dport 631 -s $HOST -j ACCEPT

  # Инет
  $IPT -A FORWARD -i $INTIF1 -o $EXTIF -s $HOST -j ACCEPT
  $IPT -A FORWARD -o $INTIF1 -i $EXTIF -d $HOST -j ACCEPT
  # -m state --state NEW,ESTABLISHED,RELATED
  # Локалка
  # -s $HOST -d 172.16.0.0/12
  #$IPT -A FORWARD -i $INTIF1 -o $INTIF1 -j ACCEPT
  # -d $HOST -s 172.16.0.0/12 
  #$IPT -A FORWARD -i $INTIF1 -o $INTIF1 -j ACCEPT
done

# Drop IPP packets from unknown hosts
#$IPT -A INPUT -p tcp --dport 631 -j DROP