package/firewall/files/uci_firewall.sh

   1 #!/bin/sh
   2 # Copyright (C) 2008 John Crispin <blogic@openwrt.org>
   3
   4 . /etc/functions.sh
   5
   6 IPTABLES="echo iptables"
   7 IPTABLES=iptables
   8
   9 config_clear
  10 include /lib/network
  11 scan_interfaces
  12
  13 CONFIG_APPEND=1
  14 config_load firewall
  15
  16 config fw_zones
  17 ZONE_LIST=$CONFIG_SECTION
  18
  19 CUSTOM_CHAINS=1
  20 DEF_INPUT=DROP
  21 DEF_OUTPUT=DROP
  22 DEF_FORWARD=DROP
  23
  24 load_policy() {
  25         config_get input $1 input
  26         config_get output $1 output
  27         config_get forward $1 forward
  28
  29         DEF_INPUT="${input:-$DEF_INPUT}"
  30         DEF_OUTPUT="${output:-$DEF_OUTPUT}"
  31         DEF_FORWARD="${forward:-$DEF_FORWARD}"
  32 }
  33
  34 create_zone() {
  35         local exists
  36
  37         [ "$1" == "loopback" ] && return
  38
  39         config_get exists $ZONE_LIST $1
  40         [ -n "$exists" ] && return
  41         config_set $ZONE_LIST $1 1
  42
  43         $IPTABLES -N zone_$1
  44         $IPTABLES -N zone_$1_MSSFIX
  45         $IPTABLES -N zone_$1_ACCEPT
  46         $IPTABLES -N zone_$1_DROP
  47         $IPTABLES -N zone_$1_REJECT
  48         $IPTABLES -N zone_$1_forward
  49         $IPTABLES -A zone_$1_forward -j zone_$1_$5
  50         $IPTABLES -A zone_$1 -j zone_$1_$3
  51         $IPTABLES -A output -j zone_$1_$4
  52         $IPTABLES -N zone_$1_nat -t nat
  53         $IPTABLES -N zone_$1_prerouting -t nat
  54         [ "$6" == "1" ] && $IPTABLES -t nat -A POSTROUTING -j zone_$1_nat
  55 }
  56
  57 addif() {
  58         local dev
  59         config_get dev core $2
  60         [ -n "$dev" -a "$dev" != "$1" ] && delif "$dev" "$2"
  61         [ -n "$dev" -a "$dev" == "$1" ] && return
  62         logger "adding $1 to firewall zone $2"
  63         $IPTABLES -A input -i $1 -j zone_$2
  64         $IPTABLES -I zone_$2_MSSFIX 1 -o $1 -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu
  65         $IPTABLES -I zone_$2_ACCEPT 1 -o $1 -j ACCEPT
  66         $IPTABLES -I zone_$2_DROP 1 -o $1 -j DROP
  67         $IPTABLES -I zone_$2_REJECT 1 -o $1 -j reject
  68         $IPTABLES -I zone_$2_ACCEPT 1 -i $1 -j ACCEPT
  69         $IPTABLES -I zone_$2_DROP 1 -i $1 -j DROP
  70         $IPTABLES -I zone_$2_REJECT 1 -i $1 -j reject
  71         $IPTABLES -I zone_$2_nat 1 -t nat -o $1 -j MASQUERADE
  72         $IPTABLES -I PREROUTING 1 -t nat -i $1 -j zone_$2_prerouting
  73         $IPTABLES -A forward -i $1 -j zone_$2_forward
  74         uci_set_state firewall core "$2" "$1"
  75 }
  76
  77 delif() {
  78         logger "removing $1 from firewall zone $2"
  79         $IPTABLES -D input -i $1 -j zone_$2
  80         $IPTABLES -D zone_$2_ACCEPT -o $1 -j ACCEPT
  81         $IPTABLES -D zone_$2_DROP -o $1 -j DROP
  82         $IPTABLES -D zone_$2_REJECT -o $1 -j reject
  83         $IPTABLES -D zone_$2_ACCEPT -i $1 -j ACCEPT
  84         $IPTABLES -D zone_$2_DROP -i $1 -j DROP
  85         $IPTABLES -D zone_$2_REJECT -i $1 -j reject
  86         $IPTABLES -D zone_$2_nat -t nat -o $1 -j MASQUERADE
  87         $IPTABLES -D PREROUTING -t nat -i $1 -j zone_$2_prerouting
  88         $IPTABLES -D forward -i $1 -j zone_$2_forward
  89         uci_revert_state firewall core "$2"
  90 }
  91
  92 load_synflood() {
  93         local rate=${1:-25}
  94         local burst=${2:-50}
  95         echo "Loading synflood protection"
  96         $IPTABLES -N syn_flood
  97         $IPTABLES -A syn_flood -p tcp --syn -m limit --limit $rate/second --limit-burst $burst -j RETURN
  98         $IPTABLES -A syn_flood -j DROP
  99         $IPTABLES -A INPUT -p tcp --syn -j syn_flood
 100 }
 101
 102 fw_set_chain_policy() {
 103         local chain=$1
 104         local target=$2
 105         [ "$target" == "REJECT" ] && {
 106                 $IPTABLES -A $chain -j reject
 107                 target=DROP
 108         }
 109         $IPTABLES -P $chain $target
 110 }
 111
 112 fw_defaults() {
 113         [ -n "$DEFAULTS_APPLIED" ] && {
 114                 echo "Error: multiple defaults sections detected"
 115                 return;
 116         }
 117         DEFAULTS_APPLIED=1
 118
 119         load_policy "$1"
 120
 121         echo 1 > /proc/sys/net/ipv4/tcp_syncookies
 122         for f in /proc/sys/net/ipv4/conf/*/accept_redirects
 123         do
 124                 echo 0 > $f
 125         done
 126         for f in /proc/sys/net/ipv4/conf/*/accept_source_route
 127         do
 128                 echo 0 > $f
 129         done
 130
 131         uci_revert_state firewall core
 132         uci_set_state firewall core "" firewall_state
 133
 134         $IPTABLES -P INPUT DROP
 135         $IPTABLES -P OUTPUT DROP
 136         $IPTABLES -P FORWARD DROP
 137
 138         $IPTABLES -F
 139         $IPTABLES -t mangle -F
 140         $IPTABLES -t nat -F
 141         $IPTABLES -t mangle -X
 142         $IPTABLES -t nat -X
 143         $IPTABLES -X
 144
 145         $IPTABLES -A INPUT -m state --state INVALID -j DROP
 146         $IPTABLES -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
 147
 148         $IPTABLES -A OUTPUT -m state --state INVALID -j DROP
 149         $IPTABLES -A OUTPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
 150
 151         $IPTABLES -A FORWARD -m state --state INVALID -j DROP
 152         $IPTABLES -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT
 153
 154         $IPTABLES -A INPUT -i lo -j ACCEPT
 155         $IPTABLES -A OUTPUT -o lo -j ACCEPT
 156
 157         config_get syn_flood $1 syn_flood
 158         config_get syn_rate $1 syn_rate
 159         config_get syn_burst $1 syn_burst
 160         [ "$syn_flood" == "1" ] && load_synflood $syn_rate $syn_burst
 161
 162         echo "Adding custom chains"
 163         fw_custom_chains
 164
 165         $IPTABLES -N input
 166         $IPTABLES -N output
 167         $IPTABLES -N forward
 168
 169         $IPTABLES -A INPUT -j input
 170         $IPTABLES -A OUTPUT -j output
 171         $IPTABLES -A FORWARD -j forward
 172
 173         $IPTABLES -N reject
 174         $IPTABLES -A reject -p tcp -j REJECT --reject-with tcp-reset
 175         $IPTABLES -A reject -j REJECT --reject-with icmp-port-unreachable
 176
 177         fw_set_chain_policy INPUT "$DEF_INPUT"
 178         fw_set_chain_policy OUTPUT "$DEF_OUTPUT"
 179         fw_set_chain_policy FORWARD "$DEF_FORWARD"
 180 }
 181
 182 fw_zone() {
 183         local name
 184         local network
 185         local masq
 186
 187         config_get name $1 name
 188         config_get network $1 network
 189         config_get masq $1 masq
 190         load_policy $1
 191
 192         [ -z "$network" ] && network=$name
 193         create_zone "$name" "$network" "$input" "$output" "$forward" "$masq"
 194         fw_custom_chains_zone "$name"
 195 }
 196
 197 fw_rule() {
 198         local src
 199         local src_ip
 200         local src_mac
 201         local src_port
 202         local src_mac
 203         local dest
 204         local dest_ip
 205         local dest_port
 206         local proto
 207         local target
 208         local ruleset
 209
 210         config_get src $1 src
 211         config_get src_ip $1 src_ip
 212         config_get src_mac $1 src_mac
 213         config_get src_port $1 src_port
 214         config_get dest $1 dest
 215         config_get dest_ip $1 dest_ip
 216         config_get dest_port $1 dest_port
 217         config_get proto $1 proto
 218         config_get target $1 target
 219         config_get ruleset $1 ruleset
 220
 221         src_port_first=${src_port%-*}
 222         src_port_last=${src_port#*-}
 223         [ "$src_port_first" -ne "$src_port_last" ] && { \
 224                 src_port="$src_port_first:$src_port_last"; }
 225
 226         dest_port_first=${dest_port%-*}
 227         dest_port_last=${dest_port#*-}
 228         [ "$dest_port_first" -ne "$dest_port_last" ] && { \
 229                 dest_port="$dest_port_first:$dest_port_last"; }
 230
 231         ZONE=input
 232         TARGET=$target
 233         [ -z "$target" ] && target=DROP
 234         [ -n "$src" -a -z "$dest" ] && ZONE=zone_$src
 235         [ -n "$src" -a -n "$dest" ] && ZONE=zone_${src}_forward
 236         [ -n "$dest" ] && TARGET=zone_${dest}_$target
 237         add_rule() {
 238                 $IPTABLES -I $ZONE 1 \
 239                         ${proto:+-p $proto} \
 240                         ${src_ip:+-s $src_ip} \
 241                         ${src_port:+--sport $src_port} \
 242                         ${src_mac:+-m mac --mac-source $src_mac} \
 243                         ${dest_ip:+-d $dest_ip} \
 244                         ${dest_port:+--dport $dest_port} \
 245                         -j $TARGET
 246         }
 247         [ "$proto" == "tcpudp" -o -z "$proto" ] && {
 248                 proto=tcp
 249                 add_rule
 250                 proto=udp
 251                 add_rule
 252                 return
 253         }
 254         add_rule
 255 }
 256
 257 fw_forwarding() {
 258         local src
 259         local dest
 260         local masq
 261
 262         config_get src $1 src
 263         config_get dest $1 dest
 264         config_get_bool mtu_fix $1 mtu_fix 0
 265         [ -n "$src" ] && z_src=zone_${src}_forward || z_src=forward
 266         [ -n "$dest" ] && z_dest=zone_${dest}_ACCEPT || z_dest=ACCEPT
 267         $IPTABLES -I $z_src 1 -j $z_dest
 268         [ "$mtu_fix" -gt 0 -a -n "$dest" ] && $IPTABLES -I $z_src 1 -j zone_${dest}_MSSFIX
 269 }
 270
 271 fw_redirect() {
 272         local src
 273         local src_ip
 274         local src_port
 275         local src_dport
 276         local src_mac
 277         local dest_ip
 278         local dest_port dest_port2
 279         local proto
 280
 281         config_get src $1 src
 282         config_get src_ip $1 src_ip
 283         config_get src_port $1 src_port
 284         config_get src_dport $1 src_dport
 285         config_get src_mac $1 src_mac
 286         config_get dest_ip $1 dest_ip
 287         config_get dest_port $1 dest_port
 288         config_get proto $1 proto
 289         [ -z "$src" -o -z "$dest_ip" ] && { \
 290                 echo "redirect needs src and dest_ip"; return ; }
 291
 292         src_port_first=${src_port%-*}
 293         src_port_last=${src_port#*-}
 294         [ "$src_port_first" -ne "$src_port_last" ] && { \
 295                 src_port="$src_port_first:$src_port_last"; }
 296
 297         src_dport_first=${src_dport%-*}
 298         src_dport_last=${src_dport#*-}
 299         [ "$src_dport_first" -ne "$src_dport_last" ] && { \
 300                 src_dport="$src_dport_first:$src_dport_last"; }
 301
 302         dest_port2=$dest_port
 303         dest_port_first=${dest_port2%-*}
 304         dest_port_last=${dest_port2#*-}
 305         [ "$dest_port_first" -ne "$dest_port_last" ] && { \
 306                 dest_port2="$dest_port_first:$dest_port_last"; }
 307
 308         add_rule() {
 309                 $IPTABLES -A zone_${src}_prerouting -t nat \
 310                         ${proto:+-p $proto} \
 311                         ${src_ip:+-s $src_ip} \
 312                         ${src_port:+--sport $src_port} \
 313                         ${src_dport:+--dport $src_dport} \
 314                         ${src_mac:+-m mac --mac-source $src_mac} \
 315                         -j DNAT --to-destination $dest_ip${dest_port:+:$dest_port}
 316
 317                 $IPTABLES -I zone_${src}_forward 1 \
 318                         ${proto:+-p $proto} \
 319                         -d $dest_ip \
 320                         ${src_ip:+-s $src_ip} \
 321                         ${src_port:+--sport $src_port} \
 322                         ${dest_port2:+--dport $dest_port2} \
 323                         ${src_mac:+-m mac --mac-source $src_mac} \
 324                         -j ACCEPT
 325         }
 326         [ "$proto" == "tcpudp" -o -z "$proto" ] && {
 327                 proto=tcp
 328                 add_rule
 329                 proto=udp
 330                 add_rule
 331                 return
 332         }
 333         add_rule
 334 }
 335
 336 fw_include() {
 337         local path
 338         config_get path $1 path
 339         [ -e $path ] && . $path
 340 }
 341
 342 fw_addif() {
 343         local up
 344         local ifname
 345         config_get up $1 up
 346         config_get ifname $1 ifname
 347         [ -n "$up" ] || return 0
 348         (ACTION="ifup" INTERFACE="$1" . /etc/hotplug.d/iface/20-firewall)
 349 }
 350
 351 fw_custom_chains() {
 352         [ -n "$CUSTOM_CHAINS" ] || return 0
 353         $IPTABLES -N input_rule
 354         $IPTABLES -N output_rule
 355         $IPTABLES -N forwarding_rule
 356         $IPTABLES -N prerouting_rule -t nat
 357         $IPTABLES -N postrouting_rule -t nat
 358
 359         $IPTABLES -A INPUT -j input_rule
 360         $IPTABLES -A OUTPUT -j output_rule
 361         $IPTABLES -A FORWARD -j forwarding_rule
 362         $IPTABLES -A PREROUTING -t nat -j prerouting_rule
 363         $IPTABLES -A POSTROUTING -t nat -j postrouting_rule
 364 }
 365
 366 fw_custom_chains_zone() {
 367         local zone="$1"
 368
 369         [ -n "$CUSTOM_CHAINS" ] || return 0
 370         $IPTABLES -N input_${zone}
 371         $IPTABLES -N forwarding_${zone}
 372         $IPTABLES -N prerouting_${zone} -t nat
 373         $IPTABLES -I zone_${zone} 1 -j input_${zone}
 374         $IPTABLES -I zone_${zone}_forward 1 -j forwarding_${zone}
 375         $IPTABLES -I zone_${zone}_prerouting 1 -t nat -j prerouting_${zone}
 376 }
 377
 378 fw_init() {
 379         DEFAULTS_APPLIED=
 380
 381         echo "Loading defaults"
 382         config_foreach fw_defaults defaults
 383         echo "Loading zones"
 384         config_foreach fw_zone zone
 385         echo "Loading rules"
 386         config_foreach fw_rule rule
 387         echo "Loading forwarding"
 388         config_foreach fw_forwarding forwarding
 389         echo "Loading redirects"
 390         config_foreach fw_redirect redirect
 391         echo "Loading includes"
 392         config_foreach fw_include include
 393         uci_set_state firewall core loaded 1
 394         unset CONFIG_APPEND
 395         config_load network
 396         config_foreach fw_addif interface
 397 }
 398
 399 fw_stop() {
 400         $IPTABLES -F
 401         $IPTABLES -t mangle -F
 402         $IPTABLES -t nat -F
 403         $IPTABLES -t mangle -X
 404         $IPTABLES -t nat -X
 405         $IPTABLES -X
 406         $IPTABLES -P INPUT ACCEPT
 407         $IPTABLES -P OUTPUT ACCEPT
 408         $IPTABLES -P FORWARD ACCEPT
 409         uci_revert_state firewall core
 410 }