home *** CD-ROM | disk | FTP | other *** search
/ chilidog.highland.cc.ks.us / chilidog.highland.cc.ks.us.zip / chilidog.highland.cc.ks.us / backup / bradford.20110725.etc.tar.gz / bradford.20110725.etc.tar / etc / sysconfig / SuSEfirewall2 < prev    next >
Text File  |  2007-02-20  |  30KB  |  972 lines
  1. # Copyright (c) 2000-2002 SuSE GmbH Nuernberg, Germany.  All rights reserved.
  2. # Copyright (c) 2003,2004 SuSE Linux AG Nuernberg, Germany.  All rights reserved.
  3. # Copyright (c) 2005 SUSE LINUX Products GmbH Nuernberg, Germany.  All rights reserved.
  4. #
  5. # Author: Marc Heuse, 2002
  6. #         Ludwig Nussel, 2004
  7. #
  8. # /etc/sysconfig/SuSEfirewall2
  9. #
  10. # for use with /sbin/SuSEfirewall2 version 3.3
  11. #
  12. # ------------------------------------------------------------------------     #
  13. # PLEASE NOTE THE FOLLOWING:
  14. #
  15. # Just by configuring these settings and using the SuSEfirewall2 you
  16. # are not secure per se! There is *not* such a thing you install and
  17. # hence you are safed from all (security) hazards.
  18. #
  19. # To ensure your security, you need also:
  20. #
  21. #   * Secure all services you are offering to untrusted networks
  22. #     (internet) You can do this by using software which has been
  23. #     designed with security in mind (like postfix, vsftpd, ssh),
  24. #     setting these up without misconfiguration and praying, that
  25. #     they have got really no holes. SuSEcompartment can help in
  26. #     most circumstances to reduce the risk.
  27. #   * Do not run untrusted software. (philosophical question, can
  28. #     you trust SuSE or any other software distributor?)
  29. #   * Check the security of your server(s) regulary
  30. #   * If you are using this server as a firewall/bastion host to the
  31. #     internet for an internal network, try to run proxy services
  32. #     for everything and disable routing on this machine.
  33. #   * If you run DNS on the firewall: disable untrusted zone
  34. #     transfers and either don't allow access to it from the
  35. #     internet or run it split-brained.
  36. #
  37. # Good luck!
  38. #
  39. # Yours,
  40. #    SuSE Security Team
  41. #
  42. # ------------------------------------------------------------------------
  43. #
  44. # Configuration HELP:
  45. #
  46. # If you have got any problems configuring this file, take a look at
  47. # /usr/share/doc/packages/SuSEfirewall2/EXAMPLES or use YaST
  48. #
  49. #
  50. # If you are a end-user who is NOT connected to two networks (read: you have
  51. # got a single user system and are using a dialup to the internet) you just
  52. # have to configure (all other settings are OK): 2) and maybe 9).
  53. #
  54. # If this server is a firewall, which should act like a proxy (no direct
  55. # routing between both networks), or you are an end-user connected to the
  56. # internet and to an internal network, you have to setup your proxys and
  57. # reconfigure (all other settings are OK): 2), 3), 9) and maybe 7), 11), 14)
  58. #
  59. # If this server is a firewall, and should do routing/masquerading between
  60. # the untrusted and the trusted network, you have to reconfigure (all other
  61. # settings are OK): 2), 3), 5), 6), 9), and maybe 7), 10), 11), 12), 13),
  62. # 14)
  63. #
  64. # If you want to run a DMZ in either of the above three standard setups, you
  65. # just have to configure *additionally* 4), 9), 12), 13), 18)
  66. #
  67. # Please note that if you use service names, they have to exist in
  68. # /etc/services. There is for example no service "dns", it's called
  69. # "domain"; email is called "smtp" etc.
  70. #
  71. # ------------------------------------------------------------------------
  72.  
  73. ## Path:    Network/Firewall/SuSEfirewall2
  74. ## Description:    SuSEfirewall2 configuration
  75. ## Type:    string
  76. ## Default:    any
  77. #
  78. # 2.)
  79. # Which are the interfaces that point to the internet/untrusted
  80. # networks?
  81. #
  82. # Enter all untrusted network devices here
  83. #
  84. # Format: space separated list of interface or configuration names
  85. #
  86. # The special keyword "auto" means to use the device of the default
  87. # route. "auto" cannot be mixed with other interface names.
  88. #
  89. # The special keyword "any" means that packets arriving on interfaces not
  90. # explicitly configured as int, ext or dmz will be considered external. Note:
  91. # this setting only works for packets destined for the local machine. If you
  92. # want forwarding or masquerading you still have to add the external interfaces
  93. # individually. "any" can be mixed with other interface names.
  94. #
  95. # Examples: "eth-id-00:e0:4c:9f:61:9a", "ippp0 ippp1", "auto", "any dsl0"
  96. #
  97. # Note: alias interfaces (like eth0:1) are ignored
  98. #
  99. FW_DEV_EXT="any"
  100.  
  101. ## Type:    string
  102. #
  103. # 3.)
  104. # Which are the interfaces that point to the internal network?
  105. #
  106. # Enter all trusted network interfaces here. If you are not
  107. # connected to a trusted network (e.g. you have just a dialup) leave
  108. # this empty.
  109. #
  110. # Format: space separated list of interface or configuration names
  111. #
  112. # Examples: "eth-id-00:e0:4c:9f:61:9a", "tr0", "eth0 eth1"
  113. #
  114. FW_DEV_INT=""
  115.  
  116. ## Type:    string
  117. #
  118. # 4.)
  119. # Which are the interfaces that point to the dmz or dialup network?
  120. #
  121. # Enter all the network devices here which point to the dmz/dialups.
  122. # A "dmz" is a special, seperated network, which is only connected
  123. # to the firewall, and should be reachable from the internet to
  124. # provide services, e.g. WWW, Mail, etc. and hence is at risk from
  125. # attacks. See /usr/share/doc/packages/SuSEfirewall2/EXAMPLES for an
  126. # example.
  127. #
  128. # Note: You have to configure FW_FORWARD to define the services
  129. # which should be available to the internet and set FW_ROUTE to yes.
  130. #
  131. # Format: space separated list of interface or configuration names
  132. #
  133. # Examples: "eth-id-00:e0:4c:9f:61:9a", "tr0", "eth0 eth1"
  134. #
  135. FW_DEV_DMZ=""
  136.  
  137. ## Type:    yesno
  138. ## Default:    no
  139. #
  140. # 5.)
  141. # Should routing between the internet, dmz and internal network be
  142. # activated?
  143. #
  144. # Set this to "yes" if you either want to masquerade internal
  145. # machines or allow access to the dmz (or internal machines, but
  146. # this is not a good idea).
  147. # 
  148. # This option overrides IP_FORWARD from
  149. # /etc/sysconfig/network/options
  150. #
  151. # Setting this option one alone doesn't do anything. Either activate
  152. # masquerading with FW_MASQUERADE below if you want to masquerade
  153. # your internal network to the internet, or configure FW_FORWARD to
  154. # define what is allowed to be forwarded. You also need to define
  155. # internal or dmz interfaces in FW_DEV_INT or FW_DEV_DMZ.
  156. #
  157. # defaults to "no" if not set
  158. #
  159. FW_ROUTE="no"
  160.  
  161. ## Type:    yesno
  162. ## Default:    no
  163. #
  164. # 6.)
  165. # Do you want to masquerade internal networks to the outside?
  166. #
  167. # Requires: FW_DEV_INT or FW_DEV_DMZ, FW_ROUTE, FW_MASQ_DEV
  168. #
  169. # "Masquerading" means that all your internal machines which use
  170. # services on the internet seem to come from your firewall. Please
  171. # note that it is more secure to communicate via proxies to the
  172. # internet than to use masquerading.
  173. # 
  174. # This option is required for FW_MASQ_NETS and FW_FORWARD_MASQ.
  175. #
  176. # defaults to "no" if not set
  177. #
  178. FW_MASQUERADE="no"
  179.  
  180. ## Type:    string
  181. ## Default:     $FW_DEV_EXT
  182. #
  183. # 6a.)
  184. # You must also define on which interfaces to masquerade on. Those
  185. # are usually the same as the external interfaces. Most users can
  186. # leave the default.
  187. #
  188. # Examples: "ippp0", "$FW_DEV_EXT"
  189. #
  190. FW_MASQ_DEV="$FW_DEV_EXT"
  191.  
  192. ## Type:    string
  193. ## Default:    0/0
  194. #
  195. # Which internal computers/networks are allowed to access the
  196. # internet via masquerading (not via proxys on the firewall)?
  197. #
  198. # Format: space separated list of
  199. #  <source network>[,<destination network>,<protocol>[,port[:port]]
  200. #  
  201. #  If the protocol is icmp then port is interpreted as icmp type
  202. #
  203. # Examples: - "0/0" unrestricted access to the internet
  204. #           - "10.0.0.0/8" allows the whole 10.0.0.0 network with
  205. #             unrestricted access.
  206. #           - "10.0.1.0/24,0/0,tcp,80 10.0.1.0/24,0/0,tcp,21" allows
  207. #             the 10.0.1.0 network to use www/ftp to the internet. -
  208. #           - "10.0.1.0/24,0/0,tcp,1024:65535 10.0.2.0/24" the
  209. #             10.0.1.0/24 network is allowed to access unprivileged
  210. #             ports whereas 10.0.2.0/24 is granted unrestricted
  211. #             access.
  212. #           
  213. FW_MASQ_NETS="0/0"
  214.  
  215. ## Type:    yesno
  216. ## Default:    no
  217. #
  218. # 7.)
  219. # Do you want to protect the firewall from the internal network?
  220. # Requires: FW_DEV_INT
  221. #
  222. # If you set this to "yes", internal machines may only access
  223. # services on the firewall you explicitly allow. If you set this to
  224. # "no", any internal user can connect (and attack) any service on
  225. # the firewall.
  226. #
  227. # defaults to "yes" if not set
  228. # 
  229. FW_PROTECT_FROM_INT="no"
  230.  
  231. ## Type:    string
  232. #
  233. # 9.)
  234. # Which TCP services _on the firewall_ should be accessible from
  235. # untrusted networks?
  236. #
  237. # Enter all ports or known portnames below, seperated by a space.
  238. # TCP services (e.g. SMTP, WWW) must be set in FW_SERVICES_*_TCP, and
  239. # UDP services (e.g. syslog) must be set in FW_SERVICES_*_UDP.
  240. # e.g. if a webserver on the firewall should be accessible from the internet:
  241. # FW_SERVICES_EXT_TCP="www"
  242. # e.g. if the firewall should receive syslog messages from the dmz:
  243. # FW_SERVICES_DMZ_UDP="syslog"
  244. # For IP protocols (like GRE for PPTP, or OSPF for routing) you need to set
  245. # FW_SERVICES_*_IP with the protocol name or number (see /etc/protocols)
  246. #
  247. # Format: space separated list of ports, port ranges or well known
  248. #         service names (see /etc/services)
  249. #
  250. # Examples: "ssh", "123 514", "3200:3299", "ftp 22 telnet 512:514"
  251. #
  252. FW_SERVICES_EXT_TCP=""
  253.  
  254. ## Type:    string
  255. #
  256. # Which UDP services _on the firewall_ should be accessible from
  257. # untrusted networks?
  258. #
  259. # see comments for FW_SERVICES_EXT_TCP
  260. #
  261. # Example: "53"
  262. #
  263. FW_SERVICES_EXT_UDP=""
  264.  
  265. ## Type:    string
  266. # 
  267. # Which UDP services _on the firewall_ should be accessible from
  268. # untrusted networks?
  269. #
  270. # Usually for VPN/Routing which END at the firewall
  271. #
  272. # Example: "esp"
  273. #
  274. FW_SERVICES_EXT_IP=""
  275.  
  276. ## Type:        string
  277. #
  278. # Which RPC services _on the firewall_ should be accessible from
  279. # untrusted networks?
  280. #
  281. # Port numbers of RPC services are dynamically assigned by the
  282. # portmapper. Therefore "rpcinfo -p localhost" has to be used to
  283. # automatically determine the currently assigned port for the
  284. # services specified here.
  285. #
  286. # USE WITH CAUTION!
  287. # regular users can register rpc services and therefore may be able
  288. # to have SuSEfirewall2 open arbitrary ports
  289. #
  290. # Example: "mountd nfs"
  291. FW_SERVICES_EXT_RPC=""
  292.  
  293. ## Type:    string
  294. #
  295. # see comments for FW_SERVICES_EXT_TCP
  296. FW_SERVICES_DMZ_TCP=""
  297.  
  298. ## Type:    string
  299. #
  300. # see comments for FW_SERVICES_EXT_UDP
  301. FW_SERVICES_DMZ_UDP=""
  302.  
  303. ## Type:    string
  304. #
  305. # see comments for FW_SERVICES_EXT_IP
  306. FW_SERVICES_DMZ_IP=""
  307.  
  308. ## Type:        string
  309. #
  310. # see comments for FW_SERVICES_EXT_RPC
  311. FW_SERVICES_DMZ_RPC=""
  312.  
  313. ## Type:    string
  314. #
  315. # see comments for FW_SERVICES_EXT_TCP
  316. FW_SERVICES_INT_TCP=""
  317.  
  318. ## Type:    string
  319. #
  320. # see comments for FW_SERVICES_EXT_UDP
  321. FW_SERVICES_INT_UDP=""
  322.  
  323. ## Type:    string
  324. #
  325. # see comments for FW_SERVICES_EXT_IP
  326. FW_SERVICES_INT_IP=""
  327.  
  328. ## Type:        string
  329. #
  330. # see comments for FW_SERVICES_EXT_RPC
  331. FW_SERVICES_INT_RPC=""
  332.  
  333. ## Type: string
  334. #
  335. # Packets to silently drop without log message
  336. #
  337. # Format: space separated list of net,protocol[,port][,sport]
  338. # Example: "0/0,tcp,445 0/0,udp,4662"
  339. #
  340. # The special value _rpc_ is recognized as protocol and means that dport is
  341. # interpreted as rpc service name. See FW_SERVICES_EXT_RPC for
  342. # details.
  343. #
  344. FW_SERVICES_DROP_EXT=""
  345.  
  346. ## Type: string
  347. ## Default: 0/0,tcp,113
  348. #
  349. # Packets to silently reject without log message. Common usage is
  350. # TCP port 113 which if dropped would cause long timeouts when
  351. # sending mail or connecting to IRC servers.
  352. #
  353. # Format: space separated list of net,protocol[,dport][,sport]
  354. # Example: "0/0,tcp,113"
  355. #
  356. # The special value _rpc_ is recognized as protocol and means that dport is
  357. # interpreted as rpc service name. See FW_SERVICES_EXT_RPC for
  358. # details.
  359. #
  360. FW_SERVICES_REJECT_EXT="0/0,tcp,113"
  361.  
  362. ## Type: string
  363. ## Default: 0/0,tcp,113
  364. #
  365. # Services to allow. This is a more generic form of FW_SERVICES_{IP,UDP,TCP}
  366. # and more specific than FW_TRUSTED_NETS
  367. #
  368. # Format: space separated list of net,protocol[,dport][,sport]
  369. # Example: "0/0,tcp,22"
  370. #
  371. # The special value _rpc_ is recognized as protocol and means that dport is
  372. # interpreted as rpc service name. See FW_SERVICES_EXT_RPC for
  373. # details.
  374. #
  375. FW_SERVICES_ACCEPT_EXT=""
  376.  
  377. ## Type:    string
  378. #
  379. # 10.)
  380. # Which services should be accessible from 'trusted' hosts or nets?
  381. #
  382. # Define trusted hosts or networks (doesn't matter whether they are internal or
  383. # external) and the services (tcp,udp,icmp) they are allowed to use. This can
  384. # be used instead of FW_SERVICES_* for further access restriction. Please note
  385. # that this is no replacement for authentication since IP addresses can be
  386. # spoofed. Also note that trusted hosts/nets are not allowed to ping the
  387. # firewall until you also permit icmp.
  388. #
  389. # Format: space separated list of network[,protocol[,port]]
  390. # in case of icmp, port means the icmp type
  391. #
  392. # Example: "172.20.1.1 172.20.0.0/16 1.1.1.1,icmp 2.2.2.2,tcp,22"
  393. #
  394. FW_TRUSTED_NETS=""
  395.  
  396. ## Type:    string
  397. ## Default:
  398. #
  399. # 11.)
  400. # Specify which ports are allowed to access unprivileged ports (>1023)
  401. #
  402. # Format: yes, no or space separated list of ports
  403. #
  404. # You may either allow everyone from anyport access to your highports ("yes"),
  405. # disallow anyone ("no"), anyone who comes from a defined port (portnumber or
  406. # known portname). Note that this is easy to circumvent! The best choice is to
  407. # keep this option unset or set to 'no'
  408. #
  409. # defaults to "no" if not set (good choice)
  410. #
  411. # Note: Use of this variable is deprecated and it will likely be
  412. # removed in the future. If you think it should be kept please
  413. # report your use case at
  414. # http://forge.novell.com/modules/xfmod/project/?susefirewall2
  415. #
  416. FW_ALLOW_INCOMING_HIGHPORTS_TCP=""
  417.  
  418. ## Type:    string
  419. ## Default:
  420. #
  421. # See FW_ALLOW_INCOMING_HIGHPORTS_TCP
  422. #
  423. # defaults to "no" if not set (good choice)
  424. #
  425. # Note: Use of this variable is deprecated and it will likely be
  426. # removed in the future. If you think it should be kept please
  427. # report your use case at
  428. # http://forge.novell.com/modules/xfmod/project/?susefirewall2
  429. #
  430. FW_ALLOW_INCOMING_HIGHPORTS_UDP=""
  431.  
  432. ## Type:    string
  433. #
  434. # 13.)
  435. # Which services or networks are allowed to be routed through the
  436. # firewall, no matter which zone they are in?
  437. # Requires: FW_ROUTE
  438. #
  439. # With this option you may allow access to e.g. your mailserver. The
  440. # machines must have valid, non-private, IP addresses which were
  441. # assigned to you by your ISP. This opens a direct link to the
  442. # specified network, so please think twice befor using this option!
  443. #
  444. # Format: space separated list of
  445. #    <source network>,<destination network>[,protocol[,port[,flags]]]
  446. #
  447. #  If the protocol is icmp then port is interpreted as icmp type
  448. #
  449. #  The only flag currently supported is 'ipsec' which means to only
  450. #  match packets that originate from an IPsec tunnel
  451. #
  452. # Examples: - "1.1.1.1,2.2.2.2" allow the host 1.1.1.1 to access any
  453. #             service on the host 2.2.2.2
  454. #           - "3.3.3.3/16,4.4.4.4/24" allow the network 3.3.3.3/16
  455. #             to access any service in the network 4.4.4.4/24
  456. #           - "5.5.5.5,6.6.6.6,igmp" allow routing of IGMP messages
  457. #              from 5.5.5.5 to 6.6.6.6
  458. #           - "0/0,0/0,udp,514" always permit udp port 514 to pass
  459. #             the firewall
  460. #           - "192.168.1.0/24,10.10.0.0/16,,,ipsec \
  461. #              10.10.0.0/16,192.168.1.0/24,,,ipsec" permit traffic
  462. #              from 192.168.1.0/24 to 10.10.0.0/16 and vice versa
  463. #              provided that both networks are connected via an
  464. #              IPsec tunnel.
  465. FW_FORWARD=""
  466.  
  467. ## Type:    string
  468. #
  469. # 14.)
  470. # Which services accessed from the internet should be allowed to masqueraded
  471. # servers (on the internal network or dmz)?
  472. # Requires: FW_ROUTE
  473. #
  474. # With this option you may allow access to e.g. your mailserver. The
  475. # machines must be in a masqueraded segment and may not have public
  476. # IP addesses! Hint: if FW_DEV_MASQ is set to the external interface
  477. # you have to set FW_FORWARD from internal to DMZ for the service as
  478. # well to allow access from internal!
  479. #
  480. # Please note that this should *not* be used for security reasons!
  481. # You are opening a hole to your precious internal network. If e.g.
  482. # the webserver there is compromised - your full internal network is
  483. # compromised!
  484. #
  485. # Format: space separated list of
  486. #    <source network>,<ip to forward to>,<protocol>,<port>[,redirect port,[destination ip]]
  487. #
  488. # Protocol must be either tcp or udp
  489. #
  490. # Examples: - "4.0.0.0/8,10.0.0.10,tcp,80" forward all tcp request on
  491. #             port 80 coming from the 4.0.0.0/8 network to the
  492. #             internal server 10.10.0.10
  493. #           - "4.0.0.0/8,10.0.0.10,tcp,80,81" forward all tcp request on
  494. #             port 80 coming from the 4.0.0.0/8 network to the
  495. #             internal server 10.10.0.10 on port 81
  496. #           - "200.200.200.0/24,10.0.0.10,tcp,80,81,202.202.202.202"
  497. #             the network 200.200.200.0/24 trying to access the
  498. #             address 202.202.202.202 on port 80 will be forwarded
  499. #             to the internal server 10.0.0.10 on port 81
  500. #
  501. # Note: du to inconsitent iptables behaviour only port numbers are possible but
  502. # no service names (https://bugzilla.netfilter.org/bugzilla/show_bug.cgi?id=273)
  503. #
  504. FW_FORWARD_MASQ=""
  505.  
  506. ## Type:    string
  507. #
  508. # 15.)
  509. # Which accesses to services should be redirected to a local port on
  510. # the firewall machine?
  511. #
  512. # This option can be used to force all internal users to surf via
  513. # your squid proxy, or transparently redirect incoming webtraffic to
  514. # a secure webserver.
  515. # 
  516. # Format: list of <source network>[,<destination network>,<protocol>[,dport[:lport]]
  517. # Where protocol is either tcp or udp. dport is the original
  518. # destination port and lport the port on the local machine to
  519. # redirect the traffic to
  520. #
  521. # An exclamation mark in front of source or destination network
  522. # means everything EXCEPT the specified network
  523. #
  524. # Example: "10.0.0.0/8,0/0,tcp,80,3128 0/0,172.20.1.1,tcp,80,8080"
  525. #
  526. # Note: contrary to previous SuSEfirewall2 versions it is no longer necessary
  527. # to additionally open the local port
  528. FW_REDIRECT=""
  529.  
  530. ## Type:    yesno
  531. ## Default:    yes
  532. #
  533. # 16.)
  534. # Which kind of packets should be logged?
  535. #
  536. # When set to "yes", packages that got dropped and are considered
  537. # 'critical' will be logged. Such packets include for example
  538. # spoofed packets, tcp connection requests and certain icmp types.
  539. #
  540. # defaults to "yes" if not set
  541. #
  542. FW_LOG_DROP_CRIT="yes"
  543.  
  544. ## Type:    yesno
  545. ## Default:    no
  546. #
  547. # whether all dropped packets should be logged
  548. #
  549. # Note: for broadcasts to be logged you also need to set
  550. # FW_IGNORE_FW_BROADCAST_* to 'no'
  551. #
  552. # defaults to "no" if not set
  553. #
  554. FW_LOG_DROP_ALL="no"
  555.  
  556. ## Type:    yesno
  557. ## Default:    yes
  558. #
  559. # When set to "yes", packages that got accepted and are considered
  560. # 'critical' will be logged. Such packets include for example tcp
  561. # connection requests, rpc connection requests, access to high
  562. # udp/tcp port and forwarded pakets.
  563. #
  564. # defaults to "yes" if not set
  565. #
  566. FW_LOG_ACCEPT_CRIT="yes"
  567.  
  568. ## Type:    yesno
  569. ## Default:    no
  570. #
  571. # whether all accepted packets should be logged
  572. #
  573. # Note: setting this to 'yes' causes _LOTS_ of log entries and may
  574. # fill your disk quickly. It also disables FW_LOG_LIMIT
  575. #
  576. # defaults to "no" if not set
  577. #
  578. FW_LOG_ACCEPT_ALL="no"
  579.  
  580. ## Type:    string
  581. #
  582. # How many packets per time unit get logged for each logging rule.
  583. # When empty a default of 3/minute is used to prevent port scans
  584. # flooding your log files. For desktop usage it's a good idea to
  585. # have the limit, if you are using logfile analysis tools however
  586. # you might want to disable it.
  587. #
  588. # Set to 'no' to disable the rate limit. Setting FW_LOG_ACCEPT_ALL
  589. # to 'yes' disables this option as well.
  590. # 
  591. # Format: a digit and suffix /second, /minute, /hour or /day
  592. FW_LOG_LIMIT=""
  593.  
  594. ## Type:    string
  595. #
  596. # iptables logging option. Must end with --log-prefix and some prefix
  597. # characters
  598. #
  599. # only change this if you know what you are doing!
  600. FW_LOG=""
  601.  
  602. ## Type:    yesno
  603. ## Default:    yes
  604. #
  605. # 17.)
  606. # Do you want to enable additional kernel TCP/IP security features?
  607. # If set to yes, some obscure kernel options are set.
  608. # (icmp_ignore_bogus_error_responses, icmp_echoreply_rate,
  609. #  icmp_destunreach_rate, icmp_paramprob_rate, icmp_timeexeed_rate,
  610. #  ip_local_port_range, log_martians, rp_filter, routing flush,
  611. #  bootp_relay, proxy_arp, secure_redirects, accept_source_route
  612. #  icmp_echo_ignore_broadcasts, ipfrag_time)
  613. #
  614. # Tip: Set this to "no" until you have verified that you have got a
  615. # configuration which works for you. Then set this to "yes" and keep it
  616. # if everything still works. (It should!) ;-)
  617. #
  618. # Choice: "yes" or "no", if not set defaults to "yes"
  619. #
  620. FW_KERNEL_SECURITY="yes"
  621.  
  622. ## Type:    yesno
  623. ## Default:    no
  624. #
  625. # 18.)
  626. # Keep the routing set on, if the firewall rules are unloaded?
  627. # REQUIRES: FW_ROUTE
  628. #
  629. # Choices "yes" or "no", if not set defaults to "no"
  630. #
  631. FW_STOP_KEEP_ROUTING_STATE="no"
  632.  
  633. ## Type:    yesno
  634. ## Default:    yes
  635. #
  636. # 19.)
  637. # Allow the firewall to reply to icmp echo requests
  638. #
  639. # defaults to "no" if not set
  640. #
  641. FW_ALLOW_PING_FW="yes"
  642.  
  643. ## Type:    yesno
  644. ## Default:    no
  645. #
  646. # 19a.)
  647. # Allow hosts in the dmz to be pinged by internal and external hosts
  648. # REQUIRES: FW_ROUTE
  649. #
  650. # defaults to "no" if not set
  651. #
  652. FW_ALLOW_PING_DMZ="no"
  653.  
  654. ## Type:    yesno
  655. ## Default:    no
  656. #
  657. # 19b.)
  658. # Allow external hosts to be pinged from internal or dmz hosts
  659. # REQUIRES: FW_ROUTE
  660. #
  661. # defaults to "no" if not set
  662. #
  663. FW_ALLOW_PING_EXT="no"
  664.  
  665. ##
  666. # END of /etc/sysconfig/SuSEfirewall2
  667. ##
  668.  
  669. #                                                                         #
  670. #-------------------------------------------------------------------------#
  671. #                                                                         #
  672. # EXPERT OPTIONS - all others please don't change these!                  #
  673. #                                                                         #
  674. #-------------------------------------------------------------------------#
  675. #                                                                         #
  676.  
  677. ## Type:    yesno
  678. ## Default:    yes
  679. #
  680. # 21.)
  681. # Allow ICMP sourcequench from your ISP?
  682. #
  683. # If set to yes, the firewall will notice when connection is choking, however
  684. # this opens yourself to a denial of service attack. Choose your poison.
  685. #
  686. # Defaults to "yes" if not set
  687. #
  688. FW_ALLOW_FW_SOURCEQUENCH=""
  689.  
  690. ## Type:    string(yes,no)
  691. #
  692. # 22.)
  693. # Allow IP Broadcasts?
  694. #
  695. # Whether the firewall allows broadcasts packets.
  696. # Broadcasts are used for e.g. for Netbios/Samba, RIP, OSPF and Games.
  697. #
  698. # If you want to drop broadcasts however ignore the annoying log entries, set
  699. # FW_IGNORE_FW_BROADCAST_* to yes.
  700. #
  701. # Note that if you allow specifc ports here it just means that broadcast
  702. # packets for that port are not dropped. You still need to set
  703. # FW_SERVICES_*_UDP to actually allow regular unicast packets to
  704. # reach the applications.
  705. #
  706. # Format: either
  707. #           - "yes" or "no"
  708. #           - list of udp destination ports
  709. #
  710. # Examples: - "631 137" allow broadcast packets on port 631 and 137
  711. #              to enter the machine but drop any other broadcasts
  712. #           - "yes" do not install any extra drop rules for
  713. #              broadcast packets. They'll be treated just as unicast
  714. #              packets in this case.
  715. #           - "no" drop all broadcast packets before other filtering
  716. #              rules
  717. #
  718. # defaults to "no" if not set
  719. #
  720. FW_ALLOW_FW_BROADCAST_EXT="no"
  721.  
  722. ## Type:    string
  723. #
  724. # see comments for FW_ALLOW_FW_BROADCAST_EXT
  725. FW_ALLOW_FW_BROADCAST_INT="no"
  726.  
  727. ## Type:    string
  728. #
  729. # see comments for FW_ALLOW_FW_BROADCAST_EXT
  730. FW_ALLOW_FW_BROADCAST_DMZ="no"
  731.  
  732. ## Type:    string(yes,no)
  733. #
  734. # Suppress logging of dropped broadcast packets. Useful if you don't allow
  735. # broadcasts on a LAN interface.
  736. #
  737. # This setting only affects packets that are not allowed according
  738. # to FW_ALLOW_FW_BROADCAST_*
  739. #
  740. # Format: either
  741. #           - "yes" or "no"
  742. #           - list of udp destination ports
  743. #
  744. # Examples: - "631 137" silently drop broadcast packets on port 631 and 137
  745. #           - "yes" do not log dropped broadcast packets
  746. #           - "no" log all dropped broadcast packets
  747. #
  748. #
  749. # defaults to "no" if not set
  750. FW_IGNORE_FW_BROADCAST_EXT="yes"
  751.  
  752. ## Type:    string
  753. #
  754. # see comments for FW_IGNORE_FW_BROADCAST_EXT
  755. FW_IGNORE_FW_BROADCAST_INT="no"
  756.  
  757. ## Type:    string
  758. #
  759. # see comments for FW_IGNORE_FW_BROADCAST_EXT
  760. FW_IGNORE_FW_BROADCAST_DMZ="no"
  761.  
  762. ## Type:    yesno
  763. ## Default:    no
  764. #
  765. # 23.)
  766. # Allow same class routing per default?
  767. # REQUIRES: FW_ROUTE
  768. #
  769. # Do you want to allow routing between interfaces of the same class
  770. # (e.g. between all internet interfaces, or all internal network interfaces)
  771. # be default (so without the need setting up FW_FORWARD definitions)?
  772. #
  773. # Choice: "yes" or "no", if not set defaults to "no"
  774. #
  775. # Defaults to "no" if not set
  776. #
  777. FW_ALLOW_CLASS_ROUTING=""
  778.  
  779. ## Type:    string
  780. #
  781. # 25.)
  782. # Do you want to load customary rules from a file?
  783. #
  784. # This is really an expert option. NO HELP WILL BE GIVEN FOR THIS!
  785. # READ THE EXAMPLE CUSTOMARY FILE AT /etc/sysconfig/scripts/SuSEfirewall2-custom
  786. #
  787. #FW_CUSTOMRULES="/etc/sysconfig/scripts/SuSEfirewall2-custom"
  788. FW_CUSTOMRULES=""
  789.  
  790. ## Type:    yesno
  791. ## Default:    no
  792. #
  793. # 26.)
  794. # Do you want to REJECT packets instead of DROPing?
  795. #
  796. # DROPing (which is the default) will make portscans and attacks much
  797. # slower, as no replies to the packets will be sent. REJECTing means, that
  798. # for every illegal packet, a connection reject packet is sent to the
  799. # sender.
  800. #
  801. # Choice: "yes" or "no", if not set defaults to "no"
  802. #
  803. # Defaults to "no" if not set
  804. #
  805. FW_REJECT=""
  806.  
  807. ## Type:    string
  808. #
  809. # 27.)
  810. # Tuning your upstream a little bit via HTB (Hierarchical Token Bucket)
  811. # for more information about HTB see http://www.lartc.org
  812. #
  813. # If your download collapses while you have a parallel upload,
  814. # this parameter might be an option for you. It manages your
  815. # upload stream and reserves bandwidth for special packets like
  816. # TCP ACK packets or interactive SSH.
  817. # It's a list of devices and maximum bandwidth in kbit.
  818. # For example, the german TDSL account, provides 128kbit/s upstream
  819. # and 768kbit/s downstream. We can only tune the upstream.
  820. #
  821. # Example:
  822. # If you want to tune a 128kbit/s upstream DSL device like german TDSL set
  823. # the following values:
  824. # FW_HTB_TUNE_DEV="dsl0,125"
  825. # where dsl0 is your pppoe device and 125 stands for 125kbit/s upstream
  826. #
  827. # you might wonder why 125kbit/s and not 128kbit/s. Well practically you'll
  828. # get a better performance if you keep the value a few percent under your
  829. # real maximum upload bandwidth, to prevent the DSL modem from queuing traffic in
  830. # it's own buffers because queing is done by us now.
  831. # So for a 256kbit upstream
  832. #   FW_HTB_TUNE_DEV="dsl0,250"
  833. # might be a better value than "dsl0,256". There is no perfect value for a
  834. # special kind of modem. The perfect value depends on what kind of traffic you
  835. # have on your line but 5% under your maximum upstream might be a good start.
  836. # Everthing else is special fine tuning.
  837. # If you want to know more about the technical background,
  838. # http://tldp.org/HOWTO/ADSL-Bandwidth-Management-HOWTO/
  839. # is a good start
  840. #
  841. FW_HTB_TUNE_DEV=""
  842.  
  843. ## Type:    list(no,drop,reject)
  844. ## Default:    drop
  845. #
  846. # 28.)
  847. # What to do with IPv6 Packets?
  848. #
  849. # On older kernels ip6tables was not stateful so it's not possible to implement
  850. # the same features as for IPv4 on such machines. For these there are three
  851. # choices:
  852. # 
  853. # - no: do not set any IPv6 rules at all. Your Host will allow any IPv6
  854. #   traffic unless you setup your own rules.
  855. #
  856. # - drop: drop all IPv6 packets.
  857. #
  858. # - reject: reject all IPv6 packets. This is the default if stateful matching is
  859. #   not available.
  860. #
  861. # Disallowing IPv6 packets may lead to long timeouts when connecting to IPv6
  862. # Adresses. See FW_IPv6_REJECT_OUTGOING to avoid this.
  863. #
  864. # Leave empty to automatically detect whether your kernel supports stateful matching.
  865. #
  866. FW_IPv6=""
  867.  
  868. ## Type:    yesno
  869. ## Default:    yes
  870. #
  871. # 28a.)
  872. # Reject outgoing IPv6 Packets?
  873. #
  874. # Set to yes to avoid timeouts because of dropped IPv6 Packets. This Option
  875. # does only make sense with FW_IPv6 != no
  876. #
  877. # Defaults to "yes" if not set
  878. #
  879. FW_IPv6_REJECT_OUTGOING=""
  880.  
  881. ## Type:    list(yes,no,int,ext,dmz)
  882. ## Default:    no
  883. #
  884. # 29.)
  885. # Trust level of IPsec packets.
  886. #
  887. # You do not need to change this if you do not intend to run
  888. # services that should only be available trough an IPsec tunnel.
  889. #
  890. # The value specifies how much IPsec packets are trusted. 'int', 'ext' or 'dmz'
  891. # are the respective zones. 'yes' is the same as 'int. 'no' means that IPsec
  892. # packets belong to the same zone as the interface they arrive on.
  893. #
  894. # Note: you still need to explicitely allow IPsec traffic.
  895. # Example:
  896. #   FW_IPSEC_TRUST="int"
  897. #   FW_SERVICES_EXT_IP="esp"
  898. #   FW_SERVICES_EXT_UDP="isakmp"
  899. #   FW_PROTECT_FROM_INT="no"
  900. #
  901. # Defaults to "no" if not set
  902. #
  903. FW_IPSEC_TRUST="no"
  904.  
  905. ## Type:    string
  906. ## Default:    
  907. #
  908. # 30.)
  909. # Define additional firewall zones
  910. #
  911. # The built-in zones INT, EXT and DMZ must not be listed here. Names
  912. # of additional zones must only contain lowercase ascii characters.
  913. # To define rules for the additional zone, take the approriate
  914. # variable for a built-in zone and substitute INT/EXT/DMZ with the
  915. # name of the additional zone.
  916. #
  917. # Example:
  918. #   FW_ZONES="wlan"
  919. #   FW_DEV_wlan="wlan0"
  920. #   FW_SERVICES_wlan_TCP="80"
  921. #   FW_ALLOW_FW_BROADCAST_wlan="yes"
  922. #
  923. FW_ZONES=""
  924.  
  925. ## Type:    list(yes,no,auto,)
  926. ## Default:    
  927. #
  928. # 31.)
  929. # Whether to use iptables-batch
  930. #
  931. # iptables-batch commits all rules in an almost atomic way similar
  932. # to iptables-restore. This avoids excessive iptables calls and race
  933. # conditions.
  934. #
  935. # Choice:
  936. #     - yes: use iptables-batch if available and warn if it isn't
  937. #     - no: don't use iptables-batch
  938. #     - auto: use iptables-batch if available, silently fall back to
  939. #       iptables if it isn't
  940. #
  941. # Defaults to "auto" if not set
  942. #
  943. FW_USE_IPTABLES_BATCH=""
  944.  
  945. ## Type:    string
  946. ## Default:    
  947. #
  948. # 32.)
  949. # Which additional kernel modules to load at startup
  950. #
  951. # Example:
  952. #   FW_LOAD_MODULES="ip_conntrack_ftp ip_nat_ftp"
  953. #
  954. FW_LOAD_MODULES=""
  955.  
  956. ## Type:    string
  957. ## Default:    
  958. #
  959. # 33.)
  960. # Bridge interfaces without IP address
  961. #
  962. # Traffic on bridge interfaces like the one used by xen appears to
  963. # enter and leave on the same interface. Add such interfaces here in
  964. # order to install special permitting rules for them.
  965. #
  966. # Format: list of interface names separated by space
  967. #
  968. # Example:
  969. #   FW_FORWARD_ALWAYS_INOUT_DEV="xenbr0"
  970. #
  971. FW_FORWARD_ALWAYS_INOUT_DEV=""
  972.