home *** CD-ROM | disk | FTP | other *** search
/ ftp.jcu.edu.au / 2014.06.ftp.jcu.edu.au.tar / ftp.jcu.edu.au / v6.3.2b / SWBD63 / fabos-6.3.2b-10.ppc.rpm / fabos-6.3.2b.10.cpio.gz / fabos-6.3.2b.10.cpio / fabos / libexec / createiptab < prev    next >
Text File  |  2010-11-10  |  10KB  |  371 lines
  1. #!/bin/sh
  2. #
  3. # Usage: createiptab.sh
  4. # 
  5. # Rule are defined as follows.
  6.  
  7. #    ----------         -------
  8. #    | INPUT  |-------->| TCP |------> Other protocol rules
  9. #    ----------         -------
  10. #        |
  11. #        |              -------
  12. #        -------------->| UDP |------> Other protocol rules
  13. #                       -------
  14. #
  15. # splitting rule processing in two levels makes it faster
  16. # to execute.
  17.  
  18. export PATH=/fabos/sbin:/fabos/bin:/bin:/usr/bin:/sbin
  19.  
  20. # update version whenever script is changed
  21.  
  22. # IPTABLES variable is not defined, hence will be null
  23. # this variable is kept if script is changed to use a 
  24. # path for iptables,  this variable can be set to proper
  25. # location
  26.  
  27. export debug_on=0
  28.  
  29. iptab_clear_rules()
  30. {
  31.     iptables -P INPUT ACCEPT
  32.     iptables -P OUTPUT ACCEPT
  33.     iptables -P FORWARD ACCEPT
  34.  
  35.     iptables -F
  36.     iptables -X
  37. }
  38.  
  39. if [ $# != 3 ]; then
  40.     echo "ERROR: $0, Incorrect number of parameters."
  41.     iptab_clear_rules;
  42.     exit 1
  43. fi
  44.  
  45. # third parameter is CP IP, script will differentiate based on CPSTATE
  46. export ACTCP_IP=$1
  47.  
  48. export CPNAME=$2
  49. export CPSTATE=$3
  50.  
  51. version=v1.0
  52.  
  53. iptables_restore=/sbin/iptables-restore
  54.  
  55. export ERRFILE="/dev/null"
  56. export INTERNAL_IFACE=eth1
  57. export INTERNAL_IFACE_BP=eth2
  58. export INET_IFACE="eth0"
  59. export DCE_IFACE="veth+"
  60. export DCE_VLAN_IFACE="vlan+"
  61. export FC="fc"
  62. export SCRDIR="/fabos/libexec"
  63. export PRIV_NET=10.0.0.0/28 
  64. export PRIV_NET_BP=127.1.0.0/16 
  65. export INTERNAL_IP1=10.0.0.5
  66. export INTERNAL_IP2=10.0.0.6
  67.  
  68. export rule_file=/tmp/netfilter.rules
  69. export proto_tcp=tcp
  70. export proto_udp=udp
  71. export proto_icmp=icmp
  72.  
  73. PROTO_TELNET=telnet
  74. PROTO_SSH=ssh
  75. PROTO_HTTP=http
  76. PROTO_APIRPC=apirpc
  77. PROTO_APIPMAP=apipmap
  78. PROTO_TCPCOMM=tcpcommon
  79. PROTO_UDPCOMM=udpcommon
  80. PRIV_NET_RULE=priv_net_rule
  81.  
  82. rule_chains="tcp udp telnet ssh http apirpc apipmap tcpcommon udpcommon"
  83.  
  84. CREATECHAINS="createchains"
  85.  
  86. echo_debug()
  87. {
  88.         echo $* 1>&2
  89. }
  90.  
  91. iptab_clean_up () 
  92. {
  93.     rm -f $rule_file
  94. }
  95.  
  96. iptab_create_header()
  97. {
  98.     # Start generating rules file
  99.  
  100.     echo "# Generated by createiptab $version" > $rule_file
  101.     echo "*filter" >> $rule_file
  102.     echo ":INPUT DROP [0:0]" >> $rule_file
  103.     echo ":FORWARD ACCEPT [0:0]" >> $rule_file
  104.     echo ":OUTPUT ACCEPT [0:0]" >> $rule_file
  105. }
  106.  
  107. iptab_sw_create_rule_chains()
  108. {
  109.     swinst=$1;
  110.  
  111.     for rule_item in $rule_chains
  112.     do 
  113.         # need this for both tcp and udp
  114.         if [ "apirpc" = "$rule_item" ]; then
  115.             echo ":$rule_item$swinst$proto_tcp - [0:0]" >> $rule_file
  116.             echo ":$rule_item$swinst$proto_udp - [0:0]" >> $rule_file
  117.             continue;
  118.         fi    
  119.  
  120.         echo ":$rule_item$swinst - [0:0]" >> $rule_file
  121.     done
  122. }
  123.  
  124. iptab_priv_net_create_rule_chain()
  125. {
  126.     echo ":$PRIV_NET_RULE - [0:0]" >> $rule_file
  127. }
  128.  
  129. iptab_cp_create_rule_chains()
  130. {
  131.     cp_code=$1;
  132.  
  133.     echo ":$proto_tcp$cp_code - [0:0]" >> $rule_file
  134.     echo ":$proto_udp$cp_code - [0:0]" >> $rule_file
  135. }
  136.  
  137. iptab_get_cp_association()
  138. {
  139.  
  140.     if [ "$ischassis" = "Yes" ] && [ "$CPSTATE" = "Standby" ]; then
  141.         ACTIVECP=0    # Dual chassis stanby CP
  142.     elif [ "$ischassis" = "Yes" ]; then
  143.         ACTIVECP=1    # Dual chassis active CP 
  144.     else
  145.         ACTIVECP=2    # Single Chassis box 
  146.     fi
  147.  
  148.     export ACTIVECP
  149. }
  150.  
  151. iptab_priv_net_put_chain_rules()
  152. {
  153.     echo "$IPTABLES -A OUTPUT -o $INTERNAL_IFACE -j $R_PRIV_NET" >> $rule_file
  154.     echo "$IPTABLES -A OUTPUT -o $INTERNAL_IFACE_BP -j $R_PRIV_NET" >> $rule_file
  155.     echo "$IPTABLES -A $R_PRIV_NET -s $PRIV_NET -d $PRIV_NET -j ACCEPT" >> $rule_file
  156.     echo "$IPTABLES -A $R_PRIV_NET -s $PRIV_NET_BP -d $PRIV_NET_BP -j ACCEPT" >> $rule_file
  157.     echo "$IPTABLES -A $R_PRIV_NET -j REJECT" >> $rule_file
  158. }
  159.  
  160. iptab_BP_priv_net_put_chain_rules()
  161. {
  162.     echo "$IPTABLES -A OUTPUT -o $INTERNAL_IFACE_BP -j $R_PRIV_NET" >> $rule_file
  163.     echo "$IPTABLES -A $R_PRIV_NET -s $PRIV_NET_BP -d $PRIV_NET_BP -j ACCEPT" >> $rule_file
  164.     echo "$IPTABLES -A $R_PRIV_NET -j REJECT" >> $rule_file
  165. }
  166.  
  167. iptab_create_common_rules()
  168. {
  169. if [ "$ACTIVECP" = "1" ]; then
  170.  
  171.     secmode0=`/fabos/libexec/secModeGet 0`
  172.     secmode1=`/fabos/libexec/secModeGet 1`
  173.     if [ "$secmode0" != "0"  -o "$secmode1" != "0" ]; then
  174.         secmode=1
  175.     else
  176.         secmode=0
  177.     fi
  178.  
  179. #    echo_debug "debug: secmode=$secmode"
  180.  
  181.     # 600 is arbitrarily chosen to allow mounts from switch
  182.     # it was observed that mount used port above 800 in most cases
  183.     echo "$IPTABLES -A $R_ACTTCP -p $proto_tcp -m $proto_tcp --dport 897 -j REJECT" >> $rule_file
  184.     if [ "$secmode" = "0" ]; then
  185.         echo "$IPTABLES -A $R_ACTTCP -p $proto_tcp -m $proto_tcp --dport 23 -j ACCEPT" >> $rule_file
  186.         echo "$IPTABLES -A $R_ACTTCP -p $proto_tcp -m $proto_tcp --dport 22 -j ACCEPT" >> $rule_file
  187.     fi
  188.     echo "$IPTABLES -A $R_ACTTCP -p $proto_tcp -m $proto_tcp --dport 600: -j ACCEPT" >> $rule_file
  189.  
  190.     echo "$IPTABLES -A $R_ACTUDP -p $proto_udp -m $proto_udp --dport 8000 -j REJECT" >> $rule_file
  191.     echo "$IPTABLES -A $R_ACTUDP -p $proto_udp -m $proto_udp --dport 9090 -j REJECT" >> $rule_file
  192.     echo "$IPTABLES -A $R_ACTUDP -p $proto_udp -m $proto_udp --dport 123 -j ACCEPT" >> $rule_file
  193.     echo "$IPTABLES -A $R_ACTUDP -p $proto_udp -m $proto_udp --dport 600: -j ACCEPT" >> $rule_file
  194.  
  195.     echo "$IPTABLES -A INPUT -p $proto_tcp -i $INET_IFACE -d $ACTCP_IP -j $R_ACTTCP" >> $rule_file
  196.     echo "$IPTABLES -A INPUT -p $proto_udp -i $INET_IFACE -d $ACTCP_IP -j $R_ACTUDP" >> $rule_file
  197.  
  198. fi # end for active CP rules
  199.  
  200. # default policy for all, eth1 should always be allowed because
  201. # two CPs talk on this. Terminator does not need eth1 rule.
  202.  
  203. echo "$IPTABLES -A INPUT -i $INET_IFACE -p $proto_icmp -m $proto_icmp -d $INTERNAL_IP1 --icmp-type 8 -j DROP" >> $rule_file
  204. echo "$IPTABLES -A INPUT -i $INET_IFACE -p $proto_icmp -m $proto_icmp -d $INTERNAL_IP2 --icmp-type 8 -j DROP" >> $rule_file
  205. echo "$IPTABLES -A INPUT -p $proto_icmp -m $proto_icmp --icmp-type 0 -j ACCEPT" >> $rule_file
  206. echo "$IPTABLES -A INPUT -p $proto_icmp -m $proto_icmp --icmp-type 8 -j ACCEPT" >> $rule_file
  207.  
  208. #
  209. # setup BP interface only on systems where it is available
  210. #
  211. /sbin/ifconfig $INTERNAL_IFACE_BP 1>$ERRFILE 2>$ERRFILE
  212. if [ $? -eq 0 ]; then
  213.     echo "$IPTABLES -A INPUT -i $INTERNAL_IFACE_BP -j ACCEPT" >> $rule_file
  214.     echo "$IPTABLES -A FORWARD -o $INTERNAL_IFACE_BP -j REJECT" >> $rule_file
  215.     echo "$IPTABLES -A FORWARD -i $INTERNAL_IFACE_BP -j REJECT" >> $rule_file
  216. fi
  217.  
  218. #
  219. # setup to always receive anything on DCE interfaces
  220. #
  221. echo "$IPTABLES -A INPUT -i $DCE_IFACE -j ACCEPT" >> $rule_file
  222. echo "$IPTABLES -A INPUT -i $DCE_VLAN_IFACE -j ACCEPT" >> $rule_file
  223.  
  224. if [ "$ACTIVECP" != "2" ]; then
  225.     # set up forwarding rules, no forwarding from/to eth1
  226.     echo "$IPTABLES -A INPUT -i $INTERNAL_IFACE -j ACCEPT" >> $rule_file
  227.     echo "$IPTABLES -A FORWARD -o $INTERNAL_IFACE -j REJECT" >> $rule_file
  228.     echo "$IPTABLES -A FORWARD -i $INTERNAL_IFACE -j REJECT" >> $rule_file
  229.  
  230. #    echo "$IPTABLES -A INPUT -s $PRIV_NET -j REJECT" >> $rule_file
  231. #    echo "$IPTABLES -A INPUT -d $PRIV_NET -j REJECT" >> $rule_file
  232. fi
  233.  
  234. echo "$IPTABLES -A INPUT -i lo -j ACCEPT" >> $rule_file
  235.  
  236. # this is necessary so clients do not hang waiting for response.
  237. # this was discovered with firmwaredownload
  238. echo "$IPTABLES -A INPUT -j REJECT" >> $rule_file
  239.  
  240. echo "$IPTABLES -P INPUT DROP" >> $rule_file
  241. } # iptab_create_common_rules
  242.  
  243. iptab_export_rule_names()
  244. {
  245.     MYSWITCH=$1
  246.     export R_TCP=$proto_tcp$MYSWITCH
  247.     export R_UDP=$proto_udp$MYSWITCH
  248.     export R_TELNET=$PROTO_TELNET$MYSWITCH
  249.     export R_SSH=$PROTO_SSH$MYSWITCH
  250.     export R_HTTP=$PROTO_HTTP$MYSWITCH
  251.     export R_APIRPCUDP=$PROTO_APIRPC$MYSWITCH"udp"
  252.     export R_APIRPCTCP=$PROTO_APIRPC$MYSWITCH"tcp"
  253.     export R_APIPMAP=$PROTO_APIPMAP$MYSWITCH
  254.     export R_TCPCOMMON=$PROTO_TCPCOMM$MYSWITCH
  255.     export R_UDPCOMMON=$PROTO_UDPCOMM$MYSWITCH
  256.  
  257.     export R_PRIV_NET=$PRIV_NET_RULE
  258.  
  259.     if [ "$ACTIVECP" = "1" ]; then
  260.         export R_ACTTCP="tcp"A
  261.         export R_ACTUDP="udp"A
  262.     fi
  263. }
  264.  
  265. #///////////////////////////////
  266. ################################
  267. # start of this script
  268. ################################
  269. #///////////////////////////////
  270.  
  271.  
  272. chassis_info=`getchassisconfig`
  273.  
  274. export ischassis=`echo $chassis_info | sed -n -e 's/.*Chassis based system: //gp' | \
  275.     sed -n -e 's/ .*//gp'`
  276.  
  277. export num_switches=`echo $chassis_info | sed -n -e 's/Number of switches: //gp' | \
  278.     sed -n -e 's/ .*//gp'`
  279.  
  280. iptab_create_header;
  281.  
  282. # get switch type, term/Ulysses and cp type for Ulysses
  283. iptab_get_cp_association;
  284.  
  285. # create rule chain names
  286.  
  287. # standby CP on Ulysses
  288. if [ $ACTIVECP = 0 ]; then
  289.     iptab_sw_create_rule_chains S;
  290.     iptab_priv_net_create_rule_chain;
  291.  
  292.     iptab_export_rule_names S; 
  293.     $SCRDIR/$CREATECHAINS 0;
  294.  
  295.     if [ "$?" != "0" ]; then
  296.         iptab_clear_rules;
  297.         exit 1
  298.     fi
  299.  
  300.     iptab_priv_net_put_chain_rules;
  301. fi
  302.  
  303. # Dual chassis active CP
  304. if [ $ACTIVECP = 1 ]; then
  305.     number=0
  306.     while [ $number -lt $num_switches ]; do
  307.         iptab_sw_create_rule_chains $number;
  308.         number=$((number + 1))
  309.     done
  310.  
  311.     iptab_cp_create_rule_chains A;
  312.     iptab_priv_net_create_rule_chain;
  313.  
  314.     number=0
  315.     while [ $number -lt $num_switches ]; do
  316.         iptab_export_rule_names $number; 
  317.         $SCRDIR/$CREATECHAINS $number;
  318.         if [ "$?" != "0" ]; then
  319.             iptab_clear_rules;
  320.             exit 1
  321.         fi
  322.  
  323.         number=$((number + 1))
  324.     done
  325.  
  326.     iptab_priv_net_put_chain_rules;
  327. fi
  328.  
  329. # Single chassis box
  330. if [ $ACTIVECP = 2 ]; then
  331.     iptab_sw_create_rule_chains 0;
  332.  
  333.     iptab_priv_net_create_rule_chain;
  334.  
  335.     iptab_export_rule_names 0; 
  336.     $SCRDIR/$CREATECHAINS 0;
  337.  
  338.     if [ "$?" != "0" ]; then
  339.         iptab_clear_rules;
  340.         exit 1
  341.     fi
  342.  
  343. #
  344. # setup BP interface only on systems where it is available
  345. #
  346.     /sbin/ifconfig $INTERNAL_IFACE_BP 1>$ERRFILE 2>$ERRFILE
  347.     if [ $? -eq 0 ]; then
  348.         iptab_BP_priv_net_put_chain_rules;
  349.     fi
  350.  
  351. fi
  352.  
  353. iptab_create_common_rules;
  354.  
  355. echo "COMMIT" >> $rule_file
  356. echo "# Completed" >> $rule_file
  357.  
  358. $iptables_restore < $rule_file 1> /dev/null 2>&1 
  359. if [ $? != 0 ]; then
  360.     iptab_clear_rules;
  361.     echo "ERROR: Failed to enforce new iptables rules"
  362.     exit 1
  363. fi
  364.  
  365. # add forwarding rule, let it be commented, can be uncommented when needed
  366. # if uncommented, FORWARD rule also must be changed to ACCEPT
  367. # echo "1" > /proc/sys/net/ipv4/ip_forward
  368.  
  369. # cleanup  previous state
  370. #iptab_clean_up;
  371.