Home Explore Help
Register Sign In
tBKwtWS
/
netfilter-config
1
0
Fork 0
Files
Branch: mv-laptop
Branches Tags
netfilter-confi...
/
iptables.up.rules

iptables.up.rules 8.5 KB
Permalink History Raw

123456789101112131415161718192021222324252627282930313233343536373839404142434445464748495051525354555657585960616263646566676869707172737475767778798081828384858687888990919293949596979899100101102103104105106107108109110111112113114115116117118119120121122123124125126127128129130131132133134135136137138139140141142143144145146147148149150151152153154155156157158159160161162163164165166167168169170171172173174175176177178179 
  1. # Well known ports      0:1023
    2. 

  2. # Registered ports      1024:49151
    3. 

  3. # Goldielocks zone      32768:65535
    4. 

  4. # Dynamic/Private       49152:65535
    5. 

  5. #
    6. 

  6. # WAN			86.83.121.29
    7. 

  7. # vps			185.66.250.42
    8. 

  8. # tor-exit		185.87.185.45
    9. 

  9. 

  10. *filter
    11. 

  11. 

  12. :INPUT ACCEPT [0:0]
    13. 

  13. :FORWARD ACCEPT [0:0]
    14. 

  14. :OUTPUT ACCEPT [0:0]
    15. 

  15. :clutter - [0:0]
    16. 

  16. 

  17. # Local loopback
    18. 

  18. -A INPUT ! -i lo -d 127.0.0.0/8 -m limit --limit 5/min -j LOG --log-prefix "iptables dropped 127.0.0.0/8, from non localhost: " --log-level 7
    19. 

  19. -A INPUT ! -i lo -d 127.0.0.0/8 -j DROP -m comment --comment "Traffic for localhost, not from loopback interface."
    20. 

  20. -A INPUT -i lo -j ACCEPT -m comment --comment "Loopback interface"
    21. 

  21. -A OUTPUT -o lo -j ACCEPT -m comment --comment "Loopback interface"
    22. 

  22. 

  23. # Active connections
    24. 

  24. -A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
    25. 

  25. -A OUTPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
    26. 

  26. 

  27. # Ping
    28. 

  28. -A OUTPUT -p icmp -m icmp --icmp-type 8 -j ACCEPT
    29. 

  29. 

  30. # FTP
    31. 

  31. #-A OUTPUT -p tcp -m tcp --sport ? --dport 21 -j ACCEPT
    32. 

  32. #-A OUTPUT -p tcp -m tcp --sport 32768:65535 --dport 49152:65535 -j ACCEPT
    33. 

  33. 

  34. # SSH
    35. 

  35. #-A INPUT -p tcp -m tcp --dport 22 -m state --state NEW -m recent --set --name SSH --mask 255.255.255.255 --rsource
    36. 

  36. #-A INPUT -p tcp -m tcp --dport 22 -m limit --limit 5/min -m recent --rcheck --seconds 40 --hitcount 4 --rttl --name SSH --mask 255.255.255.255 --rsource -j LOG --log-prefix "iptalbes dropped SSH flood: "
    37. 

  37. #-A INPUT -p tcp -m tcp --dport 22 -m recent --update --seconds 40 --hitcount 4 --rttl --name SSH --mask 255.255.255.255 --rsource -j DROP
    38. 

  38. #-A INPUT -p tcp -m tcp --sport 1024:65535 --dport 22 -j ACCEPT
    39. 

  39. -A OUTPUT -p tcp -m tcp --sport 32768:65535 --dport 22 -j ACCEPT
    40. 

  40. 

  41. # Telnet
    42. 

  42. -A OUTPUT -p tcp -m tcp --sport 32768:65535 --dport 23 -j ACCEPT
    43. 

  43. 

  44. # SMTP(S)
    45. 

  45. -A OUTPUT -p tcp -m tcp --sport 32768:65535 --dport 25 -j ACCEPT
    46. 

  46. -A OUTPUT -p tcp -m tcp --sport 49152:65535 --dport 465 -j ACCEPT
    47. 

  47. -A OUTPUT -p tcp -m tcp --sport 32768:65535 --dport 587 -j ACCEPT
    48. 

  48. 

  49. # WHOIS
    50. 

  50. -A OUTPUT -p tcp -m tcp --sport 32768:65535 --dport 43 -j ACCEPT
    51. 

  51. 

  52. # DNS
    53. 

  53. -A OUTPUT -p udp -m udp --sport 1024:65535 --dport 53 -j ACCEPT
    54. 

  54. -A OUTPUT -p tcp -m tcp --sport 32768:65535 --dport 53 -j ACCEPT
    55. 

  55. 

  56. # DNS for VM
    57. 

  57. -A INPUT -p udp -m udp --sport 1024:65535 --dport 53 -j ACCEPT
    58. 

  58. -A INPUT -p tcp -m tcp --sport 32768:65535 --dport 53 -j ACCEPT
    59. 

  59. 

  60. # DHCP client
    61. 

  61. -A INPUT -d 255.255.255.255 -p udp -m udp --sport 67 --dport 68 -j ACCEPT
    62. 

  62. -A OUTPUT -p udp -m udp --sport 68 --dport 67 -j ACCEPT
    63. 

  63. 

  64. # DHCP for VM
    65. 

  65. -A INPUT -s 0.0.0.0 -d 255.255.255.255 -p udp -m udp --sport 68 --dport 67 -j ACCEPT
    66. 

  66. -A OUTPUT -p udp -m udp --sport 67 --dport 68 -j ACCEPT
    67. 

  67. 

  68. # HTTP & HTTPS
    69. 

  69. #-A INPUT -p tcp -m tcp --dport 80 -m state --state NEW -m recent --set --name HTTP --rsource
    70. 

  70. #-A INPUT -p tcp -m tcp --dport 80 -m recent --rcheck --seconds 30 --hitcount 20 --rttl --name HTTP --rsource -j LOG --log-prefix "iptables dropped HTTP flood: " --log-level 4
    71. 

  71. #-A INPUT -p tcp -m tcp --dport 80 -m recent --update --seconds 30 --hitcount 20 --rttl --name HTTP --rsource -j DROP
    72. 

  72. #-A INPUT -p tcp -m tcp --dport 80 -j ACCEPT -m comment --comment "Tor dir port"
    73. 

  73. -A OUTPUT -p tcp -m tcp --sport 32768:65535 --dport 80 -j ACCEPT
    74. 

  74. #-A INPUT -p tcp -m tcp --dport 443 -m state --state NEW -m recent --set --name HTTPS --rsource
    75. 

  75. #-A INPUT -p tcp -m tcp --dport 443 -m recent --rcheck --seconds 30 --hitcount 20 --rttl --name HTTPS --rsource -j LOG --log-prefix "iptables dropped HTTPS flood: " --log-level 4
    76. 

  76. #-A INPUT -p tcp -m tcp --dport 443 -m recent --update --seconds 30 --hitcount 20 --rttl --name HTTPS --rsource -j DROP
    77. 

  77. #-A INPUT -p tcp -m tcp --dport 443 -j ACCEPT -m comment --comment "Tor OR port"
    78. 

  78. -A OUTPUT -p tcp -m tcp --sport 32768:65535 --dport 443 -j ACCEPT
    79. 

  79. 

  80. # HTTP & HTTPS for VM
    81. 

  81. -A FORWARD -p tcp -m tcp --sport 32768:65535 --dport 80 -j ACCEPT
    82. 

  82. -A FORWARD -p tcp -m tcp --sport 80 --dport 32768:65535 -j ACCEPT
    83. 

  83. -A FORWARD -p tcp -m tcp --sport 32768:65535 --dport 443 -j ACCEPT
    84. 

  84. -A FORWARD -p tcp -m tcp --sport 443 --dport 32768:65535 -j ACCEPT
    85. 

  85. 

  86. # NTP
    87. 

  87. -A OUTPUT -p udp -m udp --sport 123 --dport 123 -j ACCEPT
    88. 

  88. 

  89. # Samba
    90. 

  90. -A OUTPUT -p tcp -m tcp --sport 32768:65535 --dport 139 -j ACCEPT
    91. 

  91. 

  92. # IMAPs
    93. 

  93. -A OUTPUT -p tcp -m tcp --sport 32768:65535 --dport 143 -j ACCEPT
    94. 

  94. -A OUTPUT -p tcp -m tcp --sport 32768:65535 --dport 993 -j ACCEPT
    95. 

  95. 

  96. # PIP
    97. 

  97. #-A OUTPUT -d 185.31.17.223 -p tcp -m tcp --sport 32768:65535 --dport 443 -j ACCEPT -m comment --comment "pip"
    98. 

  98. 

  99. # Socks5
    100. 

  100. #-A OUTPUT -p tcp -m tcp --sport 57448:65535 --dport 1080 -j ACCEPT
    101. 

  101. 

  102. # OpenVPN
    103. 

  103. -A OUTPUT -p udp -m udp --sport 32768:65535 --dport 1194 -j ACCEPT
    104. 

  104. 

  105. # KDEconnect: TCP & UDP 1714-1764
    106. 

  106. -A OUTPUT -p udp -m udp --sport 1716 --dport 1716 -j ACCEPT -m comment --comment "KDE Connect"
    107. 

  107. -A OUTPUT -p tcp -m tcp --sport 32768:65535 --dport 1739:1744 -j ACCEPT -m comment --comment "KDE Connect"
    108. 

  108. -A OUTPUT -p tcp -m tcp --sport 49152:65535 --dport 1716 -j ACCEPT -m comment --comment "KDE Connect"
    109. 

  109. -A INPUT -p tcp -m tcp --sport 32768:65535 --dport 1716 -j ACCEPT -m comment --comment "KDE Connect"
    110. 

  110. -A INPUT -d 255.255.255.255 -p udp -m udp --sport 32768:65535 --dport 1714 -j ACCEPT -m comment --comment "KDE Connect"
    111. 

  111. -A INPUT -d 255.255.255.255 -p udp -m udp --sport 32768:65535 --dport 1716 -j ACCEPT -m comment --comment "KDE Connect"
    112. 

  112. -A INPUT -p udp -m udp --sport 32768:65535 --dport 1714 -j ACCEPT -m comment --comment "KDE Connect"
    113. 

  113. -A INPUT -p udp -m udp --sport 32768:65535 --dport 1716 -j ACCEPT -m comment --comment "KDE Connect"
    114. 

  114. 

  115. # Multicast DNS
    116. 

  116. #-A OUTPUT -p udp -m udp --sport 5353 --dport 5353 -j clutter
    117. 

  117. #-A OUTPUT -d 244.0.0.1 -j clutter -m comment --comment "Multicast DNS"
    118. 

  118. #-A INPUT -d 224.0.0.1 -j clutter -m comment --comment "Multicast DNS"
    119. 

  119. 

  120. # Openvps console
    121. 

  121. -A OUTPUT -d openstack.cloudvps.com -p tcp -m tcp --sport 49152:65535 --dport 6080 -j ACCEPT -m comment --comment "Openvps console"
    122. 

  122. 

  123. # IRC
    124. 

  124. -A OUTPUT -p tcp -m tcp --sport 32768:65535 --dport 6667 -j ACCEPT
    125. 

  125. -A OUTPUT -p tcp -m tcp --sport 32768:65535 --dport 6697 -j ACCEPT -m comment --comment "ircs"
    126. 

  126. 

  127. # QNAP NAS
    128. 

  128. -A OUTPUT -d 10.0.75.3 -p tcp -m tcp --sport 32768:65535 --dport 8080 -j ACCEPT
    129. 

  129. 

  130. # Privoxy
    131. 

  131. #-A OUTPUT -p tcp -m tcp --sport ? --dport 8118 -j ACCEPT -m comment --comment "Privoxy"
    132. 

  132. 

  133. # Bitcoin
    134. 

  134. #-A OUTPUT -p tcp -m tcp --sport 32768:65535 --dport 8333  -j ACCEPT -m comment --comment "Bitcoin"
    135. 

  135. 

  136. # MagnaVersum Gogs git SSH
    137. 

  137. #-A OUTPUT -d 138.201.205.221 -p tcp -m tcp --sport 32768:65535 --dport 10022 -j ACCEPT -m comment --comment "MagnaVersum Gogs git SSH"
    138. 

  138. 

  139. # OpenPGP HTTP Key servers
    140. 

  140. -A OUTPUT -p tcp -m tcp --sport 32768:65535 --dport 11371 -j ACCEPT -m comment --comment "OpenPGP HTTP key servers"
    141. 

  141. 

  142. # Torrents
    143. 

  143. #-A OUTPUT -p udp -m udp --sport 51413 -j ACCEPT -m comment --comment "Torrents"
    144. 

  144. #-A OUTPUT -p tcp -m tcp --dport 51413 -j ACCEPT -m comment --comment "Torrents"
    145. 

  145. #-A OUTPUT -p tcp -m tcp --sport 51413 --dport 1024:65535 -j ACCEPT -m comment --comment "Torrents"
    146. 

  146. #-A INPUT -p udp -m udp --dport 51413 -j ACCEPT -m comment --comment "Torrents"
    147. 

  147. #-A INPUT -p tcp -m tcp --dport 51413 -j ACCEPT -m comment --comment "Torrents"
    148. 

  148. 

  149. # Traceroute
    150. 

  150. -A OUTPUT -p udp -m udp --sport 32768:65535 --dport 6881:33534 -j ACCEPT -m comment --comment "Traceroute"
    151. 

  151. 

  152. # Attacks, crawls, scans, etc to clutter chain
    153. 

  153. -A INPUT -p icmp -j clutter
    154. 

  154. -A INPUT -s 0.0.0.0 -d 255.255.255.255 -j clutter -m comment --comment "Broadcast messages"
    155. 

  155. -A INPUT -p udp -m udp --dport 19 -j clutter -m comment --comment "Character generator, looping to echo = DDoS"
    156. 

  156. -A INPUT -p tcp -m tcp --dport 23 -j clutter
    157. 

  157. -A INPUT -p udp -m udp --dport 53 -j clutter
    158. 

  158. -A INPUT -p udp -m udp --dport 111 -j clutter -m comment --comment "Probe/fingerprint Nix OS"
    159. 

  159. -A INPUT -p tcp -m tcp --dport 445 -j clutter -m comment --comment "MS-DS active directory"
    160. 

  160. -A INPUT -p tcp -m tcp --dport 2323 -j clutter -m comment --comment "3d-nfsd"
    161. 

  161. -A INPUT -p udp -m udp --dport 5060 -j clutter
    162. 

  162. -A INPUT -p tcp -m tcp --dport 3389 -j clutter -m comment --comment "MS terminal server RDP"
    163. 

  163. 

  164. #-A INPUT -d 255.255.255.255 -p tcp -m tcp --sport 67 --dport 68 -j clutter -m comment --comment "DHCP"
    165. 

  165. #-A INPUT -m iprange --dst-range 185.66.250.254-185.66.250.255 -j clutter
    166. 

  166. #-A INPUT -m mac --mac-source d4:ca:6d:74:87:0d -j clutter
    167. 

  167. #-A INPUT -p udp -m udp --dport 3076 -j clutter -m comment --comment "orbix-config"
    168. 

  168. 

  169. # Log & drop
    170. 

  170. -A INPUT -m limit --limit 5/min -j LOG --log-prefix "iptables dropped: " --log-level 7
    171. 

  171. -A INPUT -j DROP
    172. 

  172. -A FORWARD -m limit --limit 5/min -j LOG --log-prefix "iptables forward dropped: " --log-level 7
    173. 

  173. -A FORWARD -j DROP
    174. 

  174. -A OUTPUT -m limit --limit 5/min -j LOG --log-prefix "iptables rejected: " --log-level 7
    175. 

  175. -A OUTPUT -j REJECT --reject-with icmp-port-unreachable
    176. 

  176. -A clutter -m limit --limit 5/min -j LOG --log-prefix "iptables clutter dropped: " --log-level 7
    177. 

  177. -A clutter -j DROP
    178. 

  178. 

  179. COMMIT
    180.