Sziasztok!
Meg szeretnem oldani, hogy az iptables scripjeben illetve/és a squid configjaban letiltsam a dc és az ftp szolgáltatást a világhálo felé!Hogy tudnám megtenni?
jelenleg ilyen aiptables confom

#!/bin/bash
#A szabalyok osszeallitasanal torekedtem a
#http://wigwam.sztaki.hu hires portjainak tcp es udp lathatattlanna tetelere

IPT=/sbin/iptables
MPB=/sbin/modprobe
LSM=/sbin/lsmod

iptables () {

/usr/bin/addns.pl
/usr/bin/rdate -s time.kfki.hu

#Itt betoltunk par szukseges kernelmodult
if ! ( $LSM | /bin/grep ip_conntrack ] /dev/null ); then
$MPB ip_conntrack
fi
if ! ( $LSM | /bin/grep ipt_REJECT ] /dev/null ); then
$MPB ipt_REJECT
fi
if ! ( $LSM | /bin/grep ipt_REDIRECT ] /dev/null ); then
$MPB ipt_REDIRECT
fi
if ! ( $LSM | /bin/grep ipt_TOS ] /dev/null ); then
$MPB ipt_TOS
fi
if ! ( $LSM | /bin/grep ipt_MASQUERADE ] /dev/null ); then
$MPB ipt_MASQUERADE
fi
if ! ( $LSM | /bin/grep iptable_mangle ] /dev/null ); then
$MPB iptable_mangle
fi
if ! ( $LSM | /bin/grep iptable_nat ] /dev/null ); then
$MPB iptable_nat
fi

#Egy kis script varazslat, amivel a szolgaltatonktol kapott IP cimet es a NETMASKot tudjuk lekerdezni
#az ifconfig segitsegevel.
IF=ppp0
IP=`/sbin/ifconfig $IF | grep inet | cut -d : -f 2 | cut -d -f 1`
MASK=`/sbin/ifconfig $IF | grep Mas | cut -d : -f 4`
NET=$IP/$MASK
STOP=DROP

#Toroljuk az edigi osszes szabalyt, biztos ami biztos 🙂
$IPT -F
$IPT -X
$IPT -Z

#Toroljuk a `nat’ es a `mangle’ bejegyzeseket.
if ( $LSM | /bin/grep iptable_mangle ] /dev/null ); then
$IPT -t mangle -F
fi
if ( $LSM | /bin/grep iptable_nat ] /dev/null ); then
$IPT -t nat -F
fi

#Minden kimeno es bejovo forgalmat engedelyezunk a loopback eszkozre
$IPT -t filter -A INPUT -i lo -s 0/0 -d 0/0 -j ACCEPT
$IPT -t filter -A OUTPUT -o lo -s 0/0 -d 0/0 -j ACCEPT

#Minden kimeni es bejovo forgalmat engedejezunk a vmware eszkozre
#$IPT -t filter -A INPUT -i vmnet1 -s 0/0 -d 0/0 -j ACCEPT
#$IPT -t filter -A OUTPUT -o vmnet1 -s 0/0 -d 0/0 -j ACCEPT

#Helyi halo kimeneti es bemeneti forgalamanak engedelyezese
$IPT -t filter -A INPUT -i eth0 -s 0/0 -d 0/0 -j ACCEPT
$IPT -t filter -A OUTPUT -o eth0 -s 0/0 -d 0/0 -j ACCEPT

#A 8080as port tiltasa az eth0 interfacen
$IPT -t filter -A INPUT -p tcp -s 0/0 -d 0/0 –dport 8080 -j $STOP
$IPT -t filter -A INPUT -p udp -s 0/0 -d 0/0 –dport 8080 -j $STOP
$IPT -t filter -A INPUT -p tcp -s 0/0 -d 0/0 –dport 8080 -j $STOP
$IPT -t filter -A INPUT -p udp -s 0/0 -d 0/0 –dport 8080 -j $STOP

#Bekapcsoljuk a forras cimzest a kernelben
if [ -e /proc/sys/net/ipv4/conf/all/rp_filter ]; then
for f in /proc/sys/net/ipv4/conf/*/rp_filter
do
echo 2 ] $f
done
fi

#syncooki vedelem bekapocslasa
if [ -e /proc/sys/net/ipv4/tcp_syncookies ]; then
echo 1 ] /proc/sys/net/ipv4/tcp_syncookies
fi

#ICMP Dead Error Messages vedelem
if [ -e /proc/sys/net/ipv4/icmp_ignore_bogus_error_responses ]; then
echo 1 ] /proc/sys/net/ipv4/icmp_ignore_bogus_error_responses
fi

#ICMP Broadcasting vedelem
if [ -e /proc/sys/net/ipv4/icmp_echo_ignore_broadcasts ]; then
echo 1 ] /proc/sys/net/ipv4/icmp_echo_ignore_broadcasts
fi

#Dinamikus TCP/IP cimzes hack kikapcsolasa
if [ -e /proc/sys/net/ipv4/ip_dynaddr ]; then
echo 0 ] /proc/sys/net/ipv4/ip_dynaddr
fi

#Helyes hatar az ip_conntrackban
if [ -e /proc/sys/net/ipv4/ip_conntrack_max ]; then
echo 16384 ] /proc/sys/net/ipv4/ip_conntrack_max
fi

#Engedelyezni az osszes ICMP-t
$IPT -t filter -A INPUT -p icmp -s 0/0 -d $NET -m limit –limit 1/s -j ACCEPT

#Mask beallitas, hogy a halozat tobbi gepe is elerje a halozatot
$IPT -t nat -A POSTROUTING -o $IF -j MASQUERADE
#$IPT -t nat -A POSTROUTING -o $IF -s 192.168.1.201 -j MASQUERADE
#$IPT -t nat -A POSTROUTING -o $IF -s 192.168.1.202 -j MASQUERADE
#$IPT -t nat -A POSTROUTING -o $IF -s 192.168.1.21 -j MASQUERADE
#$IPT -t nat -A POSTROUTING -o $IF -s 192.168.1.3 -j MASQUERADE

#Az osszes bejovo blokkolhato IPcim tiltasa
$IPT -t filter -A INPUT -s 1.0.0.0/8 -d $NET -i $IF -j $STOP
$IPT -t filter -A INPUT -s 2.0.0.0/8 -d $NET -i $IF -j $STOP
$IPT -t filter -A INPUT -s 7.0.0.0/8 -d $NET -i $IF -j $STOP
$IPT -t filter -A INPUT -s 23.0.0.0/8 -d $NET -i $IF -j $STOP
$IPT -t filter -A INPUT -s 27.0.0.0/8 -d $NET -i $IF -j $STOP
$IPT -t filter -A INPUT -s 31.0.0.0/8 -d $NET -i $IF -j $STOP
$IPT -t filter -A INPUT -s 41.0.0.0/8 -d $NET -i $IF -j $STOP
$IPT -t filter -A INPUT -s 45.0.0.0/8 -d $NET -i $IF -j $STOP
$IPT -t filter -A INPUT -s 60.0.0.0/8 -d $NET -i $IF -j $STOP
$IPT -t filter -A INPUT -s 68.0.0.0/8 -d $NET -i $IF -j $STOP
$IPT -t filter -A INPUT -s 69.0.0.0/8 -d $NET -i $IF -j $STOP
$IPT -t filter -A INPUT -s 70.0.0.0/8 -d $NET -i $IF -j $STOP
$IPT -t filter -A INPUT -s 71.0.0.0/8 -d $NET -i $IF -j $STOP
$IPT -t filter -A INPUT -s 80.0.0.0/8 -d $NET -i $IF -j $STOP
$IPT -t filter -A INPUT -s 88.0.0.0/8 -d $NET -i $IF -j $STOP
$IPT -t filter -A INPUT -s 90.0.0.0/8 -d $NET -i $IF -j $STOP
$IPT -t filter -A INPUT -s 91.0.0.0/8 -d $NET -i $IF -j $STOP
$IPT -t filter -A INPUT -s 92.0.0.0/8 -d $NET -i $IF -j $STOP
$IPT -t filter -A INPUT -s 100.0.0.0/8 -d $NET -i $IF -j $STOP
$IPT -t filter -A INPUT -s 111.0.0.0/8 -d $NET -i $IF -j $STOP
$IPT -t filter -A INPUT -s 112.0.0.0/8 -d $NET -i $IF -j $STOP
$IPT -t filter -A INPUT -s 127.0.0.0/8 -d $NET -i $IF -j $STOP
$IPT -t filter -A INPUT -s 127.0.0.0/8 -d $NET -i $IF -j $STOP
$IPT -t filter -A INPUT -s 128.66.0.0/16 -d $NET -i $IF -j $STOP
$IPT -t filter -A INPUT -s 172.16.0.0/12 -d $NET -i $IF -j $STOP
$IPT -t filter -A INPUT -s 192.168.0.0/16 -d $NET -i $IF -j $STOP
$IPT -t filter -A INPUT -s 197.0.0.0/16 -d $NET -i $IF -j $STOP
$IPT -t filter -A INPUT -s 201.0.0.0/8 -d $NET -i $IF -j $STOP
$IPT -t filter -A INPUT -s 220.0.0.0/8 -d $NET -i $IF -j $STOP
$IPT -t filter -A INPUT -s 222.0.0.0/8 -d $NET -i $IF -j $STOP
$IPT -t filter -A INPUT -s 240.0.0.0/8 -d $NET -i $IF -j $STOP
$IPT -t filter -A INPUT -s 242.0.0.0/8 -d $NET -i $IF -j $STOP
$IPT -t filter -A INPUT -s 244.0.0.0/8 -d $NET -i $IF -j $STOP
$IPT -t filter -A INPUT -s 251.0.0.0/8 -d $NET -i $IF -j $STOP
$IPT -t filter -A INPUT -s 254.0.0.0/8 -d $NET -i $IF -j $STOP

#

---

http://wigwam.sztaki.hu

---

alapjan
#Ping of dead elleni vedelem
$IPT -A FORWARD -p icmp –icmp-type echo-request -m limit –limit 1/s -j ACCEPT

#SYN Flood elleni vedelem
$IPT -A FORWARD -p tcp –syn -m limit –limit 1/s -j ACCEPT

# Portscan elleni vedelem
$IPT -A FORWARD -p tcp –tcp-flags SYN,ACK,FIN,RST RST -m limit –limit 1/s -j ACCEPT

#2140 – DEEP throat
$IPT -t filter -A INPUT -p udp -s 0/0 -d $NET –dport 2140 -j $STOP
$IPT -t filter -A INPUT -p tcp -s 0/0 -d $NET –dport 2140 -j $STOP

#10167 – Portal of doom
$IPT -t filter -A INPUT -p udp -s 0/0 -d $NET –dport 10167 -j $STOP
$IPT -t filter -A INPUT -p tcp -s 0/0 -d $NET –dport 10167 -j $STOP

#27573 Sub-7 2.1
$IPT -t filter -A INPUT -p udp -s 0/0 -d $NET –dport 27573 -j $STOP
$IPT -t filter -A INPUT -p tcp -s 0/0 -d $NET –dport 27573 -j $STOP

#31787 Hack Attack
$IPT -t filter -A INPUT -p udp -s 0/0 -d $NET –dport 31787 -j $STOP
$IPT -t filter -A INPUT -p tcp -s 0/0 -d $NET –dport 31787 -j $STOP

#54320 Back Orifice – Back Orifice 2000
$IPT -t filter -A INPUT -p udp -s 0/0 -d $NET –dport 54320:54321 -j $STOP
$IPT -t filter -A INPUT -p tcp -s 0/0 -d $NET –dport 54320:54321 -j $STOP
$IPT -t filter -A INPUT -p tcp -s 0/0 -d $NET –dport 31337 -m limit –limit 2/minute -j $STOP
$IPT -t filter -A INPUT -p udp -s 0/0 -d $NET –dport 31337 -m limit –limit 2/minute -j $STOP
$IPT -t filter -A OUTPUT -p tcp -s $NET -d 0/0 –dport 31337 -m limit –limit 2/minute -j $STOP
$IPT -t filter -A OUTPUT -p udp -s $NET -d 0/0 –dport 31337 -m limit –limit 2/minute -j $STOP

#Trinity v3
$IPT -t filter -A INPUT -p tcp -s 0/0 -d $NET –dport 33270 -m limit –limit 2/minute -j $STOP
$IPT -t filter -A INPUT -p udp -s 0/0 -d $NET –dport 33270 -m limit –limit 2/minute -j $STOP
$IPT -t filter -A OUTPUT -p tcp -s $NET -d 0/0 –dport 33270 -m limit –limit 2/minute -j $STOP
$IPT -t filter -A OUTPUT -p udp -s $NET -d 0/0 –dport 33270 -m limit –limit 2/minute -j $STOP

#Subseven (1.7/1.9)
$IPT -t filter -A INPUT -p tcp -s 0/0 -d $NET –dport 1234 -m limit –limit 2/minute -j $STOP
$IPT -t filter -A INPUT -p tcp -s 0/0 -d $NET –dport 6711 -m limit –limit 2/minute -j $STOP
$IPT -t filter -A OUTPUT -p tcp -s $NET -d 0/0 –dport 1234 -m limit –limit 2/minute -j $STOP
$IPT -t filter -A OUTPUT -p tcp -s $NET -d 0/0 –dport 6711 -m limit –limit 2/minute -j $STOP

#Stacheldraht tiltasa
$IPT -t filter -A INPUT -p tcp -s 0/0 -d $NET –dport 16660 –syn -m limit –limit 2/minute -j $STOP
$IPT -t filter -A INPUT -p tcp -s 0/0 -d $NET –dport 60001 –syn -m limit –limit 2/minute -j $STOP
$IPT -t filter -A OUTPUT -p tcp -s $NET -d 0/0 –dport 16660 –syn -m limit –limit 2/minute -j $STOP
$IPT -t filter -A OUTPUT -p tcp -s $NET -d 0/0 –dport 60001 –syn -m limit –limit 2/minute -j $STOP

#NetBus tiltasa
$IPT -t filter -A INPUT -p tcp -s 0/0 -d $NET –dport 12345:12346 -m limit –limit 2/minute -j $STOP
$IPT -t filter -A INPUT -p udp -s 0/0 -d $NET –dport 12345:12346 -m limit –limit 2/minute -j $STOP
$IPT -t filter -A OUTPUT -p tcp -s $NET -d 0/0 –dport 12345:12346 -m limit –limit 2/minute -j $STOP
$IPT -t filter -A OUTPUT -p udp -s $NET -d 0/0 –dport 12345:12346 -m limit –limit 2/minute -j $STOP

#Trin00 csomagok tiltasa
$IPT -t filter -A INPUT -p tcp -s 0/0 -d $NET –dport 1524 -m limit –limit 2/minute -j $STOP
$IPT -t filter -A INPUT -p tcp -s 0/0 -d $NET –dport 27665 -m limit –limit 2/minute -j $STOP
$IPT -t filter -A INPUT -p udp -s 0/0 -d $NET –dport 27444 -m limit –limit 2/minute -j $STOP
$IPT -t filter -A INPUT -p udp -s 0/0 -d $NET –dport 31335 -m limit –limit 2/minute -j $STOP
$IPT -t filter -A OUTPUT -p tcp -s $NET -d 0/0 –dport 1524 -m limit –limit 2/minute -j $STOP
$IPT -t filter -A OUTPUT -p tcp -s $NET -d 0/0 –dport 27665 -m limit –limit 2/minute -j $STOP
$IPT -t filter -A OUTPUT -p udp -s $NET -d 0/0 –dport 27444 -m limit –limit 2/minute -j $STOP
$IPT -t filter -A OUTPUT -p udp -s $NET -d 0/0 –dport 31335 -m limit –limit 2/minute -j $STOP

#Multicast tiltasa
$IPT -t filter -A INPUT -s 224.0.0.0/8 -d 0/0 -j $STOP
$IPT -t filter -A INPUT -s 0/0 -d 224.0.0.0/8 -j $STOP
$IPT -t filter -A OUTPUT -s 224.0.0.0/8 -d 0/0 -j $STOP
$IPT -t filter -A OUTPUT -s 0/0 -d 224.0.0.0/8 -j $STOP

#Stuffed Routing csomagok tiltasa
$IPT -t filter -A INPUT -s 255.255.255.255 -j $STOP
$IPT -t filter -A INPUT -d 0.0.0.0 -j $STOP
$IPT -t filter -A OUTPUT -s 255.255.255.255 -j $STOP
$IPT -t filter -A OUTPUT -d 0.0.0.0 -j $STOP

#A 10 percnel kesobb jovo toredezettsegmentesitett csomagok tiltasa
$IPT -t filter -A INPUT -f -m limit –limit 10/minute -j $STOP

#DHCP tiltasa
$IPT -t filter -A INPUT -p udp -s 0/0 -d 0/0 –dport 67:68 -i $IF -j $STOP

#NFS tiltasa
$IPT -t filter -A INPUT -p tcp -s 0/0 -d 0/0 –dport 2049 -i $IF -j $STOP
$IPT -t filter -A INPUT -p udp -s 0/0 -d 0/0 –dport 2049 -i $IF -j $STOP

#SAMBA tiltasa
$IPT -t filter -A INPUT -p tcp -s 0/0 -d 0/0 –dport 137:139 -i $IP -j $STOP
$IPT -t filter -A INPUT -p udp -s 0/0 -d 0/0 –dport 137:139 -i $IP -j $STOP
$IPT -t filter -A INPUT -p tcp -s 0/0 -d 0/0 –dport 445 -i $IP -j $STOP
$IPT -t filter -A INPUT -p udp -s 0/0 -d 0/0 –dport 445 -i $IP -j $STOP

#ICMP kimenet engedelyezese
$IPT -A OUTPUT -p icmp -s $NET -d 0/0 -j ACCEPT

#Bejovo SSH engedelyezese
$IPT -A INPUT -p tcp –sport 22 –dport 513:65535 ! –syn -m state –state RELATED -j ACCEPT
$IPT -A INPUT -p tcp -m state –state ESTABLISHED -j ACCEPT
$IPT -A INPUT -p udp -s 0/0 -d $NET –dport 513:65535 -j ACCEPT
$IPT -t filter -A INPUT -p tcp -s 0/0 -d $NET –dport 22 -j ACCEPT

#Bejovo FTP engedelyezese
#$IPT -A INPUT -p tcp –sport 21 –dport 513:65535 ! –syn -m state –state RELATED -j ACCEPT
#$IPT -A INPUT -p tcp -m state –state ESTABLISHED -j ACCEPT
#$IPT -A INPUT -p udp -s 0/0 -d $NET –dport 513:65535 -j ACCEPT
$IPT -t filter -A INPUT -p tcp -s 0/0 -d $NET –dport 21 -j ACCEPT

#Levelezes tiltasa
$IPT -t filter -A INPUT -p tcp -s 0/0 -d $NET –dport 25 -j $STOP
$IPT -t filter -A INPUT -p tcp -s 0/0 -d $NET –dport 110 -j $STOP
$IPT -t filter -A INPUT -p tcp -s 0/0 -d $NET –dport 143 -j $STOP

#Webserver engedelyezese
$IPT -t filter -A INPUT -p tcp -s 0/0 -d $NET –dport 80 -j ACCEPT

#Nyitott kimeno TCP es UDP portok engedejezese
$IPT -A OUTPUT -p tcp -s $NET -d 0/0 –dport 1023:65535 -j ACCEPT
$IPT -A OUTPUT -p udp -s $NET -d 0/0 –dport 1023:65535 -j ACCEPT

#Tiltani az osszes bejovo csomagot
$IPT -A INPUT -j $STOP

echo 1 ] /proc/sys/net/ipv4/ip_forward
}

case „$1” in
start)
echo -n „Starting iptables….”
iptables
echo „done”
;;

stop)

echo -n „Stop iptables…..”
#Toroljuk az osszes szabalyt”
$IPT -F
$IPT -X
$IPT -Z

#A kernelmodulokat removeolni kell”
if ( $LSM | /bin/grep ipt_state 2]&1 /dev/null ); then
$MPB -r ipt_state
fi

if ( $LSM | /bin/grep ipt_limit 2]&1 /dev/null ); then
$MPB -r ipt_limit
fi

if ( $LSM | /bin/grep iptable_filter 2]&1 /dev/null ); then
$MPB -r iptable_filter
fi

if ( $LSM | /bin/grep ipt_REJECT 2]&1 /dev/null ); then
$MPB -r ipt_REJECT
fi

if ( $LSM | /bin/grep ipt_REDIRECT 2]&1 /dev/null ); then
$MPB -r ipt_REDIRECT
fi

if ( $LSM | /bin/grep ipt_TOS 2]&1 /dev/null ); then
$MPB -r ipt_TOS
fi

if ( $LSM | /bin/grep ipt_MASQUERADE 2]&1 /dev/null ); then
$MPB -r ipt_MASQUERADE
fi

if ( $LSM | /bin/grep iptable_mangle 2]&1 /dev/null ); then
$MPB -r iptable_mangle
fi

if ( $LSM | /bin/grep ip_conntrack 2]&1 /dev/null ); then
$MPB -r ip_conntrack
fi

if ( $LSM | /bin/grep iptable_nat 2]&1 /dev/null ); then
$MPB -r iptable_nat
fi

echo „done”
;;

restart)

echo -n „Restarting iptables….”
iptables
echo „done”
;;

*)
echo „Usage:$0 {start|stop|restart}”
exit 1
;;
esac

exit 0

Elõre is köszönöm, mindkét megolás érdekel!Sürgõs lenne!
Sziasztok