home *** CD-ROM | disk | FTP | other *** search
/ ftp.jcu.edu.au / 2014.06.ftp.jcu.edu.au.tar / ftp.jcu.edu.au / v6.3.2b / SWBD63 / fabos-6.3.2b-10.ppc.rpm / fabos-6.3.2b.10.cpio.gz / fabos-6.3.2b.10.cpio / fabos / libexec / createipf < prev    next >
Text File  |  2010-11-10  |  12KB  |  446 lines
  1. #!/bin/sh
  2. #
  3. # Usage: createipf.sh
  4. # 
  5. # Rule are defined as follows.
  6.  
  7. #    ----------         -------
  8. #    | INPUT  |-------->| TCP |------> Other protocol rules
  9. #    ----------         -------
  10. #        |
  11. #        |              -------
  12. #        -------------->| UDP |------> Other protocol rules
  13. #                       -------
  14. #
  15. # splitting rule processing in two levels makes it faster
  16. # to execute.
  17.  
  18. export PATH=/fabos/sbin:/fabos/bin:/bin:/usr/bin:/sbin
  19.  
  20. # update version whenever script is changed
  21.  
  22. # IPTABLES variable is not defined, hence will be null
  23. # this variable is kept if script is changed to use a 
  24. # path for iptables,  this variable can be set to proper
  25. # location
  26.  
  27. export debug_on=0
  28.  
  29. if [ $# != 2 ]; then
  30.     echo "ERROR: $0, Incorrect number of parameters."
  31.     #Not required.
  32.     #iptab_clear_rules;
  33.     exit 1
  34. fi
  35.  
  36. export POLICYTYPE=$1
  37. export CPSTATE=$2
  38.  
  39. version=v1.1
  40.  
  41. #NEED TO CREATE IP6TABLES ALSO.
  42. iptab_clear_rules()
  43. {
  44.         
  45.     if [ "$POLICYTYPE" = "v4" ]; then
  46.         iptables -P INPUT ACCEPT
  47.         iptables -P OUTPUT ACCEPT
  48.         iptables -P FORWARD ACCEPT
  49.  
  50.         iptables -F
  51.         iptables -X
  52.     elif [ "$POLICYTYPE" = "v6" ]; then
  53.         ip6tables -P INPUT ACCEPT
  54.         ip6tables -P OUTPUT ACCEPT
  55.         ip6tables -P FORWARD ACCEPT
  56.  
  57.         ip6tables -F
  58.         ip6tables -X
  59.     else
  60.         iptables -P INPUT ACCEPT
  61.         iptables -P OUTPUT ACCEPT
  62.         iptables -P FORWARD ACCEPT
  63.  
  64.         iptables -F
  65.         iptables -X
  66.         
  67.         ip6tables -P INPUT ACCEPT
  68.         ip6tables -P OUTPUT ACCEPT
  69.         ip6tables -P FORWARD ACCEPT
  70.  
  71.         ip6tables -F
  72.         ip6tables -X
  73.     fi
  74. }
  75.  
  76. function valid_ip()
  77. {
  78.     local  ip=$1
  79.     local  stat=1
  80.     IP_ADDR_VAL=$(echo "$ip" | grep -Ec '^(25[0-5]|2[0-4][0-9]|[0-1]{1}[0-9]{2}|[1-9]{1}[0-9]{1}|[1-9])\.(25[0-5]|2[0-4][0-9]|[0-1]{1}[0-9]{2}|[1-9]{1}[0-9]{1}|[1-9]|0)\.(25[0-5]|2[0-4][0-9]|[0-1]{1}[0-9]{2}|[1-9]{1}[0-9]{1}|[1-9]|0)\.(25[0-5]|2[0-4][0-9]|[0-1]{1}[0-9]{2}|[1-9]{1}[0-9]{1}|[0-9])')
  81.     if ! [ $IP_ADDR_VAL -eq 0 ]; then
  82.         stat=0    
  83.     fi
  84.  
  85.     return $stat
  86. }
  87.  
  88. #USER DEFINED PARAMETERS
  89.  
  90. export ERRFILE="/dev/null"
  91. export INTERNAL_IFACE=eth1
  92. export INTERNAL_IFACE_BP=eth2
  93. export INTERNAL_IFACE_1250=inbd+
  94. export DCE_IFACE="veth+"
  95. export DCE_VLAN_IFACE="vlan+"
  96. export FC="fc"
  97. export SCRDIR="/fabos/libexec"
  98. export PRIV_NET=10.0.0.0/28 
  99. export PRIV_NET_BP=127.1.0.0/16 
  100. export INTERNAL_IP1=10.0.0.5
  101. export INTERNAL_IP2=10.0.0.6
  102.  
  103. export RULE_FILE=/tmp/netfilter.rules
  104. export PROTO_TCP=tcp
  105. export PROTO_UDP=udp
  106. export PROTO_ICMP=icmp
  107.  
  108. export R_TCP=tcp0
  109. export R_UDP=udp0
  110. export R_ICMP=icmp0
  111. export R_TELNET=telnet0
  112. export R_SSH=ssh0
  113. export R_HTTP=http0
  114. export R_APIRPCUDP=apirpcudp0
  115. export R_APIRPCTCP=apirpctcp0
  116. export R_APIPMAP=apipmap0
  117. export R_TCPCOMMON=tcpcommon0
  118. export R_UDPCOMMON=udpcommon0
  119.  
  120. export R_PRIV_NET=priv_net_rule
  121.  
  122. rule_chains="tcp0 udp0 telnet0 ssh0 http0 apirpctcp0 apirpcudp0 apipmap0 tcpcommon0 udpcommon0"
  123.  
  124. CREATECHAINS="createipfchains"
  125.  
  126. # Determine the system platform identifier.
  127. SWBD=`/sbin/sin | sed -n -e 's/^.\+\(SWBD\)\([[:digit:]]\{1,\}\).\+$/\2/gp' 2> /dev/null`
  128.  
  129. # Determine the state-sync transport based on the platform identifier.
  130. if [ $SWBD = 62 -o $SWBD = 77 ]; then
  131.     export INET_IFACE="bond0"
  132. else
  133.     export INET_IFACE="eth0"
  134. fi
  135.  
  136. echo_debug()
  137. {
  138.         echo $* 1>&2
  139. }
  140.  
  141. iptab_create_header()
  142. {
  143.     # Start generating rules file
  144.  
  145.     echo "# Generated by createiptab $version" > $RULE_FILE
  146.     echo "*filter" >> $RULE_FILE
  147.     echo ":INPUT DROP [0:0]" >> $RULE_FILE
  148.     echo ":FORWARD ACCEPT [0:0]" >> $RULE_FILE
  149.     echo ":OUTPUT ACCEPT [0:0]" >> $RULE_FILE
  150. }
  151.  
  152.  
  153.  
  154. iptab_create_rule_chains()
  155. {
  156.     for rule_item in $rule_chains
  157.     do 
  158.         echo ":$rule_item - [0:0]" >> $RULE_FILE
  159.     done
  160. }
  161.  
  162.  
  163. iptab_priv_net_create_rule_chain()
  164. {
  165.     echo ":$R_PRIV_NET - [0:0]" >> $RULE_FILE
  166. }
  167.  
  168.  
  169. # get switch type, term/Ulysses and cp type for Ulysses
  170. iptab_get_cp_association()
  171. {
  172.  
  173.     # Change the names to CPRUL and change it to ACTIVE, STANDBY and PIZZABO
  174.     if [ "$ischassis" = "Yes" ] && [ "$CPSTATE" = "Standby" ]; then
  175.         ACTIVECP=0    # Dual chassis stanby CP
  176.     elif [ "$ischassis" = "Yes" ]; then
  177.         ACTIVECP=1    # Dual chassis active CP 
  178.     else
  179.         ACTIVECP=2    # Single Chassis box 
  180.     fi
  181.  
  182.     export ACTIVECP
  183. }
  184.  
  185.  
  186.  
  187. iptab_priv_net_put_chain_rules()
  188. {
  189.     # DO check for Active and pizza box
  190.     if [ "$ACTIVECP" = "0" ]; then
  191.         echo "$IPTABLES -A OUTPUT -o $INTERNAL_IFACE -j $R_PRIV_NET"
  192.         echo "$IPTABLES -A OUTPUT -o $INTERNAL_IFACE_BP -j $R_PRIV_NET"
  193.         echo "$IPTABLES -A $R_PRIV_NET -s $PRIV_NET -d $PRIV_NET -j ACCEPT"
  194.         echo "$IPTABLES -A $R_PRIV_NET -s $PRIV_NET_BP -d $PRIV_NET_BP -j ACCEPT"
  195.         echo "$IPTABLES -A $R_PRIV_NET -j REJECT"
  196.     fi
  197.     if [ "$ACTIVECP" = "2" ]; then
  198.         #
  199.         # setup BP interface only on systems where it is available
  200.         #
  201.         /sbin/ifconfig $INTERNAL_IFACE_BP 1>$ERRFILE 2>$ERRFILE
  202.         if [ $? -eq 0 ]; then
  203.             echo "$IPTABLES -A OUTPUT -o $INTERNAL_IFACE_BP -j $R_PRIV_NET"
  204.             echo "$IPTABLES -A $R_PRIV_NET -s $PRIV_NET_BP -d $PRIV_NET_BP -j ACCEPT"
  205.             echo "$IPTABLES -A $R_PRIV_NET -j REJECT"
  206.         fi
  207.     fi
  208. }
  209.  
  210.  
  211. iptab_create_common_rules()
  212. {
  213.  
  214.     declare -a ipfcarr
  215.     ipfcarr=( `/fabos/cliexec/ipaddripfcshow`)                #  Loads contents
  216.     element_count=${#ipfcarr[*]}
  217.  
  218.     # default policy or all, eth1 should always be allowed because
  219.     # two CPs talk on this. Terminator does not need eth1 rule.
  220.  
  221.     # These two rules should not be removed at all, as this rule redirects
  222.     # all incoming packets to tcp and udp chains.   
  223.     echo "$IPTABLES -A INPUT -i $INET_IFACE -p $PROTO_TCP -j $R_TCP"
  224.     echo "$IPTABLES -A INPUT -i $INET_IFACE -p $PROTO_UDP -j $R_UDP"
  225.  
  226.     if [ "$POLICYTYPE" = "v4" ]; then
  227.         if [ "$CPSTATE" = "Active" ]; then
  228.         #       detaching FC IP address FC interface, and no specific interface is specified. 
  229.         #       defect # 25011 - because of ARP cache corruption, this association can not be
  230.         #       enforced,. ARP cache is corrupted because of Linux behaviour where it does
  231.         #       not support two physical interfaces on same subnet.
  232.  
  233.             for (( i=0; i<${element_count}; i++ ));
  234.             do
  235.                 IP=`echo ${ipfcarr[$i]} | cut -d / -f 1`
  236.                 NETMASK=`echo ${ipfcarr[$i]} | cut -d / -f 2`
  237.                 if ! [ -z $(echo $NETMASK | sed -e 's/[0-9]//g') ] || [ "$NETMASK" = "" ]; then
  238.                     ipfcarr[$i]=$IP
  239.                 fi
  240.  
  241.                 if valid_ip  ${ipfcarr[$i]}; then
  242.                     echo "$IPTABLES -A INPUT -p $PROTO_TCP -d ${ipfcarr[$i]} -j ACCEPT"
  243.                     echo "$IPTABLES -A INPUT -p $PROTO_UDP -d ${ipfcarr[$i]} -j ACCEPT"
  244.                 fi 
  245.             done
  246.         fi
  247.  
  248.         echo "$IPTABLES -A INPUT -i $INET_IFACE -p $PROTO_ICMP -m $PROTO_ICMP -d $INTERNAL_IP1 --icmp-type 8 -j DROP"
  249.         echo "$IPTABLES -A INPUT -i $INET_IFACE -p $PROTO_ICMP -m $PROTO_ICMP -d $INTERNAL_IP2 --icmp-type 8 -j DROP"
  250.         if [ "$ACTIVECP" == "2" ]; then
  251.             echo "$IPTABLES -A INPUT -i $INTERNAL_IFACE_1250 -p $PROTO_ICMP -m $PROTO_ICMP -d $INTERNAL_IP1 --icmp-type 8 -j DROP"
  252.             echo "$IPTABLES -A INPUT -i $INTERNAL_IFACE_1250 -p $PROTO_ICMP -m $PROTO_ICMP -d $INTERNAL_IP2 --icmp-type 8 -j DROP"
  253.         fi
  254.         # Explain about the ping request and responses which ping and try to find out
  255.         echo "$IPTABLES -A INPUT -p $PROTO_ICMP -m $PROTO_ICMP --icmp-type 0 -j ACCEPT"
  256.         echo "$IPTABLES -A INPUT -p $PROTO_ICMP -m $PROTO_ICMP --icmp-type 8 -j ACCEPT"
  257.         # Defect 221041, allow fragmentation-needed ICMP packets so we can tunnel management traffic
  258.         echo "$IPTABLES -A INPUT -p $PROTO_ICMP --icmp-type fragmentation-needed -j ACCEPT"
  259.     elif [ "$POLICYTYPE" = "v6" ]; then
  260.         # echo "$IPTABLES -A INPUT -p icmpv6 -j LOG"
  261.         # Future work: find about exact icmp types
  262.         echo "$IPTABLES -A INPUT -p icmpv6 -j ACCEPT"
  263.     fi
  264.     
  265.     #
  266.     # setup BP interface only on systems where it is available
  267.     #
  268.  
  269.     if [ "$POLICYTYPE" = "v4" ]; then
  270.         if /sbin/ifconfig $INTERNAL_IFACE_BP 1>$ERRFILE 2>$ERRFILE; then
  271.             echo "$IPTABLES -A INPUT -i $INTERNAL_IFACE_BP -j ACCEPT"
  272.             echo "$IPTABLES -A FORWARD -o $INTERNAL_IFACE_BP -j REJECT"
  273.             echo "$IPTABLES -A FORWARD -i $INTERNAL_IFACE_BP -j REJECT"
  274.         fi
  275.     fi
  276.  
  277. #
  278. # setup to always receive anything on DCE interfaces
  279. #
  280.         echo "$IPTABLES -A INPUT -i $DCE_IFACE -j ACCEPT" >> $RULE_FILE
  281.         echo "$IPTABLES -A INPUT -i $DCE_VLAN_IFACE -j ACCEPT" >> $RULE_FILE
  282.  
  283.     if [ "$ACTIVECP" != "2" ]; then
  284.         # set up forwarding rules, no forwarding from/to eth1
  285.         echo "$IPTABLES -A INPUT -i $INTERNAL_IFACE -j ACCEPT"
  286.         echo "$IPTABLES -A FORWARD -o $INTERNAL_IFACE -j REJECT"
  287.         echo "$IPTABLES -A FORWARD -i $INTERNAL_IFACE -j REJECT"
  288.  
  289.     #    echo "$IPTABLES -A INPUT -s $PRIV_NET -j REJECT"
  290.     #    echo "$IPTABLES -A INPUT -d $PRIV_NET -j REJECT"
  291.     fi
  292.  
  293.     echo "$IPTABLES -A INPUT -i lo -j ACCEPT"
  294.  
  295.     if [ "$ACTIVECP" == "2" ]; then # should not be chassis
  296.         #
  297.         # set up inbd rule for INPUT, inbd0 or inbd1 interface will not be up yet
  298.         #
  299.         echo "$IPTABLES -A INPUT -i $INTERNAL_IFACE_1250 -p $PROTO_TCP -j $R_TCP"
  300.         echo "$IPTABLES -A INPUT -i $INTERNAL_IFACE_1250 -p $PROTO_UDP -j $R_UDP"
  301.     fi
  302.  
  303.     #
  304.     # allow AH, ESP and IKE packets
  305.     #
  306.     echo "$IPTABLES -A INPUT -p udp --dport 500 --j ACCEPT"
  307.     echo "$IPTABLES -A INPUT -p esp -j ACCEPT"
  308.     echo "$IPTABLES -A INPUT -p ah -j ACCEPT"
  309.     echo "$IPTABLES -A OUTPUT -p udp --dport 500 --j ACCEPT"
  310.     echo "$IPTABLES -A OUTPUT -p esp -j ACCEPT"
  311.     echo "$IPTABLES -A OUTPUT -p ah  -j ACCEPT"
  312.  
  313.     # this is necessary so clients do not hang waiting for response.
  314.     # this was discovered with firmwaredownload
  315.     echo "$IPTABLES -A INPUT -j REJECT"
  316.  
  317.     # This is a policy to drop all incoming packets which will not hit.
  318.     echo "$IPTABLES -P INPUT DROP"
  319. } # iptab_create_common_rules
  320.  
  321. iptab_nat_create_v4_rules()
  322. {
  323. # Creating rules for nat table
  324. HOSTNAME=`hostname`
  325. HOSTFILE=/etc/hosts
  326. IP_ETH0=`sed -n -e 's/ .*'$HOSTNAME'.*//gp' $HOSTFILE`
  327. IP_TABLES=/sbin/iptables
  328.  
  329.     if [ "$ACTIVECP" = "2" ]; then
  330.         $IP_TABLES -t nat -vL 1>$ERRFILE 2>$ERRFILE
  331.         if [ $? -eq 0 ]; then
  332.             $IP_TABLES -t nat -A POSTROUTING -o $INTERNAL_IFACE_1250 -j SNAT --to $IP_ETH0
  333.         fi
  334.     fi
  335. } # iptab_nat_create_v4_rules
  336.  
  337. #///////////////////////////////
  338. ################################
  339. # start of this script
  340. ################################
  341. #///////////////////////////////
  342. POLICYFILE="/etc/fabos/ipfpolicy."$POLICYTYPE"."$CPSTATE".txt"
  343. POLICYFILE_OLD="/tmp/old_ipfpolicy."$POLICYTYPE"."$CPSTATE".txt"
  344.  
  345. NEW_IPFCFILE="/etc/fabos/ipfc.txt"
  346. OLD_IPFCFILE="/tmp/oldipfc.txt"
  347. OLD_4RULESFILE="/tmp/oldip4rule.txt"
  348. OLD_6RULESFILE="/tmp/oldip6rule.txt"
  349.  
  350.  
  351. # check if text policy file exists. If not, exit.
  352. if [ ! -f $POLICYFILE ]; then
  353.     exit 1
  354. fi
  355.  
  356. /fabos/cliexec/ipaddripfcshow >>$NEW_IPFCFILE
  357.  
  358. if [ -f $POLICYFILE_OLD ]; then
  359.    HASH_NEW=`/usr/bin/md5sum $POLICYFILE`
  360.    HASH_NEW=${HASH_NEW%% *}
  361.    HASH_OLD=`/usr/bin/md5sum $POLICYFILE_OLD`
  362.    HASH_OLD=${HASH_OLD%% *}
  363.    if [ "$HASH_NEW" = "$HASH_OLD" ]; then
  364.  
  365.     if [ ! -f $OLD_IPFCFILE ]; then
  366.         exit 0    
  367.     fi    
  368.     IPFCHASH_NEW=`/usr/bin/md5sum $NEW_IPFCFILE`
  369.     IPFCHASH_NEW=${IPFCHASH_NEW%% *}
  370.     IPFCHASH_OLD=`/usr/bin/md5sum $OLD_IPFCFILE`
  371.     IPFCHASH_OLD=${IPFCHASH_OLD%% *}
  372.     if [ "$IPFCHASH_NEW" = "$IPFCHASH_OLD" ]; then
  373.         exit 0
  374.     fi
  375.    fi
  376. fi
  377.  
  378. chassis_info=`getchassisconfig`
  379.  
  380. export ischassis=`echo $chassis_info | sed -n -e 's/.*Chassis based system: //p' | \
  381.     sed -n -e 's/ .*//p'`
  382.  
  383. iptab_create_header;
  384.  
  385. # get switch type, term/Ulysses and cp type for Ulysses
  386. iptab_get_cp_association;
  387.  
  388. # create rule chain names
  389. iptab_create_rule_chains ;
  390.  
  391. #SAGAR:Required only for ipv4 Stack
  392. if [ "$POLICYTYPE"    = "v4" ]; then
  393.     iptab_priv_net_create_rule_chain;
  394. fi
  395.  
  396. $SCRDIR/$CREATECHAINS $POLICYTYPE $CPSTATE;
  397.  
  398. if [ "$?" != "0" ]; then
  399.     iptab_clear_rules;
  400.     exit 1
  401. fi
  402.  
  403. if [ "$POLICYTYPE" = "v4" ]; then
  404.     iptab_priv_net_put_chain_rules >> $RULE_FILE
  405. fi
  406.  
  407. iptab_create_common_rules >> $RULE_FILE
  408.  
  409. echo "COMMIT" >> $RULE_FILE
  410. echo "# Completed" >> $RULE_FILE
  411.  
  412. if [ "$POLICYTYPE"    = "v4" ]; then
  413.     /sbin/iptables-restore < $RULE_FILE 1> /dev/null 2>&1
  414. else
  415.     /sbin/ip6tables-restore < $RULE_FILE 1> /dev/null 2>&1
  416. fi
  417.  
  418. if [ $? != 0 ]; then
  419.     iptab_clear_rules;
  420.     echo "ERROR: Failed to enforce new iptables rules"
  421.     if [ -f $RULE_FILE ]; then
  422.         ERRFILE="/tmp/oldrules.`/bin/date +\"%s\"`.txt"
  423.         if [ "$POLICYTYPE"    = "v4" ]; then
  424.             /sbin/iptables-restore < $RULE_FILE >> $ERRFILE 
  425.             /bin/mv $RULE_FILE $OLD_4RULESFILE
  426.         else
  427.              /sbin/ip6tables-restore < $RULE_FILE >> $ERRFILE
  428.             /bin/mv $RULE_FILE $OLD_6RULESFILE
  429.         fi
  430.     fi
  431.     exit 1
  432. fi
  433.  
  434.  
  435. /bin/mv $POLICYFILE $POLICYFILE_OLD
  436. /bin/mv $NEW_IPFCFILE $OLD_IPFCFILE
  437.  
  438. # add NAT table rule(s) for inbd interface
  439. if [ "$POLICYTYPE" = "v4" ]; then
  440.     iptab_nat_create_v4_rules;
  441. fi
  442.  
  443. # add forwarding rule, let it be commented, can be uncommented when needed
  444. # if uncommented, FORWARD rule also must be changed to ACCEPT
  445. # echo "1" > /proc/sys/net/ipv4/ip_forward
  446.