Como criar uma Bridge no Debian

Quando se tem a necessidade de unificar várias redes (placas de redes), em uma única rede, a solução é o uso de uma Bridge. Este vídeo, mostra como configurar uma Bridge no Debian Linux:

https://youtu.be/oYDprhajTm4

Consulta entre Servidores Proxies

Como configurar dois Servidores Proxies, para trocarem informações entre si.

Primeiro devemos instalar o pacote squid3 nos dois Servidores (Debian e derivados):

#apt-get update
#apt-get install squid3

O arquivo principal de configuração do squid3 encontra-se em:
/etc/squid3/squid.conf

squid.conf básico:

http_port 3128

refresh_pattern ^ftp:           1440    20%     10080
refresh_pattern ^gopher:        1440    0%      1440
refresh_pattern -i (/cgi-bin/|\?) 0     0%      0
refresh_pattern .               0       20%     4320

acl manager url_regex -i ^cache_object:// +i ^https?://[^/]+/squid-internal-mgr/

acl localhost src 127.0.0.1/32 ::1
acl to_localhost dst 127.0.0.0/8 0.0.0.0/32 ::1

acl localnet src 10.0.0.0/8     # RFC 1918 possible internal network
acl localnet src 172.16.0.0/12  # RFC 1918 possible internal network
acl localnet src 192.168.0.0/16 # RFC 1918 possible internal network
acl localnet src fc00::/7       # RFC 4193 local private network range
acl localnet src fe80::/10      # RFC 4291 link-local (directly plugged) machines

acl SSL_ports port 443
acl Safe_ports port 80          # http
acl Safe_ports port 21          # ftp
acl Safe_ports port 443         # https
acl Safe_ports port 70          # gopher
acl Safe_ports port 210         # wais
acl Safe_ports port 1025-65535  # unregistered ports
acl Safe_ports port 280         # http-mgmt
acl Safe_ports port 488         # gss-http
acl Safe_ports port 591         # filemaker
acl Safe_ports port 777         # multiling http
acl CONNECT method CONNECT

http_access allow manager localhost
http_access deny manager
http_access deny !Safe_ports
http_access deny CONNECT !SSL_ports
http_access allow localhost
http_access allow localnet
http_access deny all

Para limpar o arquivo squid.conf
#echo  "" > /etc/squid3/squid.conf


Arquivo squid.conf do Servidor Proxy I:

http_port 3128
icp_port 3130

refresh_pattern ^ftp:           1440    20%     10080
refresh_pattern ^gopher:        1440    0%      1440
refresh_pattern -i (/cgi-bin/|\?) 0     0%      0
refresh_pattern .               0       20%     4320

acl manager url_regex -i ^cache_object:// +i ^https?://[^/]+/squid-internal-mgr/

acl localhost src 127.0.0.1/32 ::1
acl to_localhost dst 127.0.0.0/8 0.0.0.0/32 ::1

acl localnet src 10.0.0.0/8     # RFC 1918 possible internal network
acl localnet src 172.16.0.0/12  # RFC 1918 possible internal network
acl localnet src 192.168.0.0/16 # RFC 1918 possible internal network
acl localnet src fc00::/7       # RFC 4193 local private network range
acl localnet src fe80::/10      # RFC 4291 link-local (directly plugged) machines

acl SSL_ports port 443
acl Safe_ports port 80          # http
acl Safe_ports port 21          # ftp
acl Safe_ports port 443         # https
acl Safe_ports port 70          # gopher
acl Safe_ports port 210         # wais
acl Safe_ports port 1025-65535  # unregistered ports
acl Safe_ports port 280         # http-mgmt
acl Safe_ports port 488         # gss-http
acl Safe_ports port 591         # filemaker
acl Safe_ports port 777         # multiling http
acl CONNECT method CONNECT
 
cache_peer 192.168.1.254 sibling 3128 3130 proxy-only no-delay
log_icp_queries off

http_access allow manager localhost
http_access deny manager
http_access deny !Safe_ports
http_access deny CONNECT !SSL_ports
http_access allow localhost
http_access allow localnet
http_access deny all


Arquivo squid.conf do Servidor proxy II:

http_port 3128
icp_port 3130

refresh_pattern ^ftp:           1440    20%     10080
refresh_pattern ^gopher:        1440    0%      1440
refresh_pattern -i (/cgi-bin/|\?) 0     0%      0
refresh_pattern .               0       20%     4320

acl manager url_regex -i ^cache_object:// +i ^https?://[^/]+/squid-internal-mgr/

acl localhost src 127.0.0.1/32 ::1
acl to_localhost dst 127.0.0.0/8 0.0.0.0/32 ::1

acl localnet src 10.0.0.0/8     # RFC 1918 possible internal network
acl localnet src 172.16.0.0/12  # RFC 1918 possible internal network
acl localnet src 192.168.0.0/16 # RFC 1918 possible internal network
acl localnet src fc00::/7       # RFC 4193 local private network range
acl localnet src fe80::/10      # RFC 4291 link-local (directly plugged) machines

acl SSL_ports port 443
acl Safe_ports port 80          # http
acl Safe_ports port 21          # ftp
acl Safe_ports port 443         # https
acl Safe_ports port 70          # gopher
acl Safe_ports port 210         # wais
acl Safe_ports port 1025-65535  # unregistered ports
acl Safe_ports port 280         # http-mgmt
acl Safe_ports port 488         # gss-http
acl Safe_ports port 591         # filemaker
acl Safe_ports port 777         # multiling http
acl CONNECT method CONNECT

cache_peer 192.168.1.1 sibling 3128 3130 proxy-only no-delay
log_icp_queries off

http_access allow manager localhost
http_access deny manager
http_access deny !Safe_ports
http_access deny CONNECT !SSL_ports
http_access allow localhost
http_access allow localnet
http_access deny all

Complete o arquivo squid.conf conforme suas necessidades.


Regras para o iptables:

Para redirecionar todo o trafego da rede para a porta do proxy:

iptables -t nat -A PREROUTING -i $LAN -p tcp -m iprange \
--src-range 192.168.1.10-192.168.1.253 -m state --stateNEW \
--dport 80 -j REDIRECT --to-port 3128


Para liberar a porta udp somente para rede interna:

iptables -I INPUT 1 -i $WAN -p udp -m udp --dport 3130 -j DROP
iptables -I INPUT 2 -i $LAN -p udp -m udp --dport 3130 -j ACCEPT


Para configurar os computadores que passarão pelo Servidor Proxy I:

Para configurar os micros que acessam via Servidor Proxy II:

Firewall Shell script

Firewall Shell script (parte 6) - Final

Recaptulando temos o seguinte Arquivo de Firewall:

#!/bin/sh

#Firewall Netfilter desenvolvido por HenriqueKbs

echo "Inicializando o Firewall de Rede em `uname -n`"

#Path
IPT="/sbin/iptables"

#Apagar regras atuais
$IPT --flush
$IPT --delete-chain
$IPT -t nat -F
$IPT -t mangle -F

#Política das cadeias na tabela FILTER
$IPT -P INPUT ACCEPT
$IPT -P FORWARD ACCEPT
$IPT -P OUTPUT ACCEPT

#Habilitar módulos do netfilter
modprobe ipt_mac
modprobe ipt_ttl
modprobe iptable_nat
modprobe iptable_mangle
modprobe ipt_limit
modprobe ipt_state
modprobe ipt_tos

#Paths
AP="ACCEPT"
DP="DROP"
RJ="REJECT"
FW="FORWARD"
SERVER="192.168.1.10/32"
REDE="192.168.1.0/25"
DNS1="8.8.8.8"
DNS2="8.8.4.4"
HOST1="192.168.1.126/32"
WAN="eth0"
LAN="eth1"

#Para liberar o trafego de pacotes bypass na FORWARD
echo 1 > /proc/sys/net/ipv4/ip_forward

#Criar uma cadeia nova
$IPT -N C_ARP

#Foi criada uma nova cadeia, para trabalhar com pacotes oriundos de um
roteador local, usando como base o endereço físico mac address.
$IPT -I INPUT -i $WAN -m mac --mac-source 00:02:22:1B:AE:AF -j C_ARP
$IPT -I $FW -i $WAN -m mac --mac-source 00:02:22:1B:AE:AF -p tcp -j C_ARP
$IPT -A C_ARP -m state --state INVALID -j $DP

#Regras para loopback
$IPT -A INPUT -i lo -s 127.0.0.1 -j $AP
$IPT -A OUTPUT -o lo -d 127.0.0.1 -j $AP
$IPT -t nat -A OUTPUT -o lo -d 127.0.0.1 -j $AP

#Regras básicas na cadeia C_ARP
$IPT -A C_ARP -p udp --sport 53 -s $DNS1 -j $AP
$IPT -A C_ARP -p udp --sport 53 -s $DNS2 -j $AP
$IPT -A C_ARP -s 0/0 -p tcp --sport 80 -j $AP
$IPT -A C_ARP -s 0/0 -p tcp --sport 443 -j $AP
$IPT -A C_ARP -s 0/0 -p udp --sport 123 -j $AP
$IPT -A C_ARP -p icmp -m icmp ! --icmp-type 8 -m limit --limit 2/s -j $AP
$IPT -A C_ARP -s 0/0 -p tcp --sport 809 -j $AP
$IPT -A C_ARP -s 0/0 -p tcp --sport 995 -j $AP
$IPT -A C_ARP -d 0/0 -p tcp --dport 587 -j $AP

#Liberar acesso via SSH para o HOST1
$IPT -A INPUT -s $HOST1 -d $SERVER -p tcp --sport 1024:65535 \
--dport 22 -j $AP
$IPT -A INPUT -p tcp --dport 22 -j $DP

#Liberar acesso na saída do Firewall
$IPT -A OUTPUT -p icmp -m icmp ! --icmp-type 0 -m limit --limit 2/s -j $AP
$IPT -A OUTPUT -m state --state NEW,ESTABLISHED -j $AP

#Algumas regras de Bloqueio
$IPT -t mangle -A PREROUTING -i $WAN -s 0/0 --dport 23 -j $DP 
$IPT -t mangle -A PREROUTING -i $LAN -m iprange --srcrange 192.168.1.1-192.168.1.49 -d 0/0 -p tcp --sport 1024:65535 --dport  80:443 -m string --algo bm --string"facebook" -j $DP

#Bloqueio de Traceroute
$IPT -A C_ARP -p udp -m udp -s 0/0 --dport 33435:33525 -j $DP

#Logs do sistema
$IPT -A C_ARP -m limit --limit 1/s –limit-burst 1 -j LOG --log-prefix \ "FW_ARP_log:"
$IPT -A INPUT -m limit --limit 1/m -j LOG --log-prefix "FW_INPUT_log:"
$IPT -A $FW -m limit --limit 1/m -j LOG --log-prefix "FW_FORWARD_log:"

#Limitar acesso a netbios, multcast e broadcast
$IPT -A INPUT -i $LAN -p udp -m udp -s 0/0 -d 255.255.255.255 --sport 67:68 \
--dport 67:68 -m limit --limit 2/s --limit-burst 3 -j $AP
$IPT -A INPUT -i $LAN -p udp -m udp --sport 137:139 --dport 137:139 \
-m limit --limit 3/s --limit-burst 3 -j $AP
$IPT -A INPUT -i $LAN -s $REDE -d 224.0.0.0/24 -m limit --limit 3/s \
--limit-burst 3 -j $AP
$IPT -A INPUT -i $LAN -s $REDE -d 192.168.1.127 -m limit --limit 3/s \
--limit-burst 3 -j $AP

#Masqueramento de pacotes
$IPT -t nat -A POSTROUTING -o $WAN -s $REDE -j MASQUERADE

#Redirecionamento de acesso remoto via RDP
$IPT -A $FW -i $WAM -o $LAN -s 0/0 -p tcp --sport 1024:65535 \
--dport 3389 -j ACCEPT
$IPT -A $FW -i $LAN -o $WAN -d 0/0 -p tcp --sport 3389 --dport \
1024:65535 -j ACCEPT
$IPT -I $FW -i $WAN -o $LAN -s 0/0 -p tcp --dport 3389 -m limit \
--limit 1/s --limit-burst 1 -j LOG --log-prefix "FW_RDP_log:"

#Liberar o acesso RDP na cadeia PREROUTING na tabela nat
$IPT -t nat -A PREROUTING -i $WAN -p tcp --dport 3389 -j DNAT \
--to-destination 192.168.1.100:3389

#Liberar o acesso RDP na cadeia POSTROUTING na tabela nat
$IPT -t nat -A POSTROUTING -d 192.168.1.100 -j SNAT --to 192.168.1.1

#Liberar acesso ao Torrent, via porta 50123, na estação 192.168.1.10, pela FORWARD
$IPT -A $FW -i $WAN -o $LAN -s 0/0 -d 192.168.1.10 -p tcp \
--sport 1024:65535 --dport 50123 -j ACCEPT
$IPT -A $FW -i $LAN -o $WAN -s 192.168.1.10 -d 0/0 -p tcp \
--sport 50123 --dport 1024:65535 -j ACCEPT

#Liberar acesso ao DNS, pela FORWARD
$IPT -A FORWARD -i eth1 -o eth0 -p udp -s $REDE -m iprange --dst-range /
189.38.95.95-189.38.95.96 --sport 1024:65535 --dport 53 -j $AP
$IPT -A FORWARD -i eth0 -o eth1 -p udp -m iprange --src-range /
189.38.95.95-189.38.95.96 -d $REDE --sport 53 --dport 1025:65535 -j $AP

#Liberar acesso a http, para a rede, pela FORWARD
$IPT -A FORWARD -i eth1 -o eth0 -p tcp -m tcp -s $REDE -d 0/0 /
--sport 1024:65535 --dport 80 -m state --state NEW,ESTABLISHED -j $AP
$IPT -A FORWARD -i eth0 -o eth1 -p tcp -m tcp -s 0/0 -d $REDE /
--sport 80 --dport 1024:65535 -m state --state ESTABLISHED -j $AP

#Liberar acesso a https, para a rede, pela FORWARD
$IPT -A $FW -i $LAN -o $WAN -s $REDE -d 0/0 -p tcp --sport 1024:65535 \
--dport 443 -m state --state NEW,ESTABLISHED -j ACCEPT
$IPT -A $FW -i $WAN -o $LAN -s 0/0 -d $REDE -p tcp --sport 443 --dport \
1024:65535 -m state --state ESTABLISHED -j ACCEPT

#Regras para liberar acesso ao proxy da rede
$IPT -A INPUT -s $REDE -p tcp --sport 1024:65535 --dport 3128 \
-j $AP
$IPT -A INPUT -p tcp --sport 1024:65535 --dport 3128 -m limit \
--limit 1/s --limit-burst 1 -j LOG --log-prefix "FW_PROXY_log:"
$IPT -A INPUT -p tcp --dport 3128 -j $DP

#Para forçar apenas um range de Ips a passarem pelo proxy
$IPT -t nat -I PREROUTING -i $LAN -p tcp -m iprange --src-range \
192.168.1.50-192.168.1.126  --dport 80 -m state --state NEW \
-j REDIRECT --to-port 3128

#Fechando o laço
$IPT -A C_ARP -p udp -m udp --dport 1:1024 -j $DP
$IPT -A C_ARP -p tcp -m tcp --syn -j $DP

$IPT -A INPUT -p udp -m udp --dport 1:1024 -j $DP
$IPT -A INPUT -p tcp -m tcp --syn -j $DP

$IPT -A FORWARD -p udp -m udp --dport 1:1024 -j $DP
$IPT -A FORWARD -p tcp -m tcp --syn -j $DP

#Bloqueio opcional
$IPT -t mangle -I PREROUTING -i $WAN -s 0/0 -p tcp -m multiport \
! --dports 22,3389 -j $DP

iptables-save


echo "======================="
echo "== Regras de Firewall Ativadas... =="
echo "======================="

# EOF







     Termino do Firewall








     Referências bibliográficas:
    
     Programção Shell Linux - Julio Cezar Neves
    
     devmedia.com.br - Wagner Tadeu Mendes
    
     http://www.netfilter.org/documentation/index.html

Firewall Shell script

Firewall Shell Script (parte 5)

     Uso do Firewall Iptables, junto com um proxy de rede (Squid)

#Regras para liberar acesso ao proxy da rede

$IPT -A INPUT -s $REDE -p tcp --sport 1024:65535 --dport 3128 \
-j $AP
$IPT -A INPUT -p tcp --sport 1024:65535 --dport 3128 -m limit \
--limit 1/s --limit-burst 1 -j LOG --log-prefix "FW_PROXY_log:"
$IPT -A INPUT -p tcp --dport 3128 -j $DP



#Força todos os usuários da rede a passarem pelo proxy

$IPT -t nat -I PREROUTING -i $LAN -s $REDE -p tcp --dport 80 \
-m state --state NEW -j REDIRECT --to-port 3128


#Para forçar apenas um range de Ips a passarem pelo proxy

$IPT -t nat -I PREROUTING -i $LAN -p tcp -m iprange --src-range \
192.168.1.50-192.168.1.126  --dport 80 -m state --state NEW \
-j REDIRECT --to-port 3128


 #Para redes, que apenas alguns usuários precisam passar pelo proxy, criam-se várias regras de iptables, para cada ip, ou pode-se usar este script

#Force proxy
proxy=/root/proxy
for i in `cat $proxy`; do
ip=`echo $i | cut -d ';' -f 1`
#
$IPT -t nat -I PREROUTING -i $LAN -p tcp -s $ip --dport 80 \ 
-m state --state NEW -j REDIRECT --to-port 3128
#
echo "IP - force proxy - $ip"
done #Fim do FOR
#

     Crie um arquivo proxy no mesmo diretório e insira os ips, que devem passar pelo proxy

#cd /root
#touch proxy

#echo "192.168.1.25" > proxy
#echo "192.168.1.36" >> proxy
#echo "192.168.1.57" >> proxy

Firewall Shell script

Firewall Shell script (parte 4)

#Chain FORWARD

     A Cadeia FORWARD, é onde ocorre o tráfego "bypass" de pacotes, dentro de um Firewall Iptables. Essa passagem de pacotes, ocorre de forma simétrica, é obrigatório as regras na ida e na volta, passando pelo Firewall.

     Exemplo prático:

#Redirecionamento de acesso remoto via RDP

$IPT -A $FW -i $WAM -o $LAN -s 0/0 -p tcp --sport 1024:65535 --dport 3389 -j ACCEPT

$IPT -A $FW -i $LAN -o $WAN -d 0/0 -p tcp --sport 3389 --dport 1024:65535 -j ACCEPT

$IPT -I $FW -i $WAN -o $LAN -s 0/0 -p tcp --dport 3389 -m limit --limit 1/s --limit-burst 1 -j LOG --log-prefix "FW_RDP_log:"


#Liberar o acesso RDP na cadeia PREROUTING

$IPT -t nat -A PREROUTING -i $WAN -p tcp --dport 3389 -j DNAT --to-destination 192.168.1.100:3389


#Liberar o acesso RDP na cadeia POSTROUTING

$IPT -t nat -A POSTROUTING -d 192.168.1.100 -j SNAT --to 192.168.1.1


#Liberar acesso ao Torrent, via porta 50123, na estação 192.168.1.10, pela FORWARD

$IPT -A $FW -i $WAN -o $LAN -s 0/0 -d 192.168.1.10 -p tcp --sport 1024:65535 --dport 50123 -j ACCEPT

$IPT -A $FW -i $LAN -o $WAN -s 192.168.1.10 -d 0/0 -p tcp --sport 50123 --dport 1024:65535 -j ACCEPT


#Liberar acesso a https, para a rede, pela FORWARD

$IPT -A $FW -i $LAN -o $WAN -s $REDE -d 0/0 -p tcp --sport 1024:65535 --dport 443 -m state --state NEW,ESTABLISHED -j ACCEPT

$IPT -A $FW -i $WAN -o $LAN -s 0/0 -d $REDE -p tcp --sport 443 --dport 1024:65535 -m state --state ESTABLISHED -j ACCEPT

Firewall Shell script

Firewall Shell script (parte 3)

#Importante agora, para sabermos quais regras insserir no Firewall, quem vai nos dizer, é o LOG do Iptables.

$IPT -A C_ARP -m limit --limit 1/s –limit-burst 1 -j LOG --log-prefix "FW_ARP_log:"

$IPT -A INPUT -m limit --limit 1/m -j LOG --log-prefix "FW_INPUT_log:"

$IPT -A $FW -m limit --limit 1/m -j LOG --log-prefix "FW_FORWARD_log:"

Para visualizar os logs:

#tail -n 50 -f /var/log/messages

ou

#tail -n 50 -f /var/log/syslog

  Observe os logs, que ele dirá qual regras são necessárias para sua rede específica.

   Pode-se refinar a busca, usando filtros:

#tail -n 600 /var/log/messages | grep "FW_ARP_log:"

#tail -n 600 /var/log/messages | grep "FW_INPUT_log:"

#tail -n 600 /var/log/messages | grep "FW_FORWARD_log:"

  Provavelmente aparecerão muitas mensagens, que podem ser traduzidas em algumas regras:

$IPT -A INPUT -i $LAN -p udp -m udp -s 0/0 -d 255.255.255.255 --sport 67:68 --dport 67:68 -m limit --limit 2/s --limit-burst 3 -j $AP
$IPT -A INPUT -i $LAN -p udp -m udp --sport 137:139 --dport 137:139 -m limit --limit 3/s --limit-burst 3 -j $AP
$IPT -A INPUT -i $LAN -s $REDE -d 224.0.0.0/24 -m limit --limit 3/s --limit-burst 3 -j $AP

$IPT -A INPUT -i $LAN -s $REDE -d 192.168.1.127 -m limit --limit 3/s --limit-burst 3 -j $AP

#A primeira linha, a regra permite a busca do DHCP, que usa esse endereço e portas 67,68 udp para esse serviço, o limit, limita as conexões.

#A segunda regra é usada para o NetBios da Microsoft

#A terceira regra permite o tráfego à endereços Multcast da rede.

#A quarta regra permite o tráfego à endereço Broadcast da rede.

  Os Logs do Iptables são muito importantes, no quesito de segurança e para identificarmos quais serviços (portas) e endereços, estão sendo requisitados por usuários da rede.

#Uma regrinha básica, para proteger o anonimato de saída de pacotes da rede.

$IPT -t nat -A POSTROUTING -o $WAN -s $REDE -j MASQUERADE

#Uma opção para mascarar a saída de pacotes da rede, porém escolhendo um range específico de portas

$IPT -t nat -A POSTROUTING -o $WAN -p tcp -m tcp -j MASQUERADE --to-ports 1024-6000 -s $REDE

Firewall Shell script

Firewall Shell script (parte 2)

  Continuando com o script de Firewall Iptables netfilter, temos:

#!/bin/sh

#Firewall Netfilter desenvolvido por HenriqueKbs

echo "Inicializando o Firewall de Rede em `uname -n`"

#Utilizaremos caminhos de abreviação, para poupar digitação

IPT="/sbin/iptables"

#Temos que apagar as regras antigas, senão ficarão duplicadas, quando reiniciar

$IPT --flush

$IPT --delete-chain

$IPT -t nat -F

$IPT -t mangle -F

#Política das cadeias na tabela FILTER (primeiramente deixarei em ACCEPT, depois se não ouver nehuma restrição, aos usuários da rede, pode-se mudar para DROP)

#$IPT -P INPUT ACCEPT

#$IPT -P FORWARD ACCEPT

#$IPT -P OUTPUT ACCEPT

#Habilitar módulos do netfilter (necessário dependendo da distro, versão do Kernel e o que for usar)

modprobe ipt_mac

modprobe ipt_ttl

modprobe iptable_nat

modprobe iptable_mangle

modprobe ipt_limit

modprobe ipt_state

modprobe ipt_tos

#Path, álias para alguns componentes do Firewall (faça conforme suas necessidades)

AP="ACCEPT"

DP="DROP"

RJ="REJECT"

FW="FORWARD"

SERVER="192.168.1.10/32"

REDE="192.168.1.0/25"

DNS1="8.8.8.8"

DNS2="8.8.4.4"

HOST1="192.168.1.126/32"

WAN="eth0"

LAN="eth1"

#Para liberar o trafego de pacotes bypass na FORWARD

echo 1 > /proc/sys/net/ipv4/ip_forward

#Criar uma cadeia nova

$IPT -N C_ARP

#Foi criada uma nova cadeia, para trabalhar com pacotes oriundos de um roteador local, usando como base o endereço físico mac address.

$IPT -I INPUT -i $WAN -m mac --mac-source 00:02:22:1B:AE:AF -j C_ARP

$IPT -I $FW -i $WAN -m mac --mac-source 00:02:22:1B:AE:AF -p tcp -j C_ARP

$IPT -A C_ARP -m state --state INVALID -j $DP

#Regras para loopback

$IPT -A INPUT -i lo -s 127.0.0.1 -j $AP

$IPT -A OUTPUT -o lo -d 127.0.0.1 -j $AP

$IPT -t nat -A OUTPUT -o lo -d 127.0.0.1 -j $AP

#Regras básicas na cadeia C_ARP

$IPT -A C_ARP -p udp --sport 53 -s $DNS1 -j $AP

$IPT -A C_ARP -p udp --sport 53 -s $DNS2 -j $AP

$IPT -A C_ARP -s 0/0 -p tcp --sport 80 -j $AP

$IPT -A C_ARP -s 0/0 -p tcp --sport 443 -j $AP

$IPT -A C_ARP -s 0/0 -p udp --sport 123 -j $AP

$IPT -A C_ARP -p icmp -m icmp ! --icmp-type 8 -m limit --limit 2/s -j $AP

$IPT -A C_ARP -s 0/0 -p tcp --sport 809 -j $AP

$IPT -A C_ARP -s 0/0 -p tcp --sport 995 -j $AP

$IPT -A C_ARP -d 0/0 -p tcp --dport 587 -j $AP

#Liberar acesso via SSH para o HOST1

$IPT -A INPUT -s $HOST1 -d $SERVER -p tcp --sport 1024:65535 --dport 22 -j $AP

$IPT -A INPUT -p tcp --dport 22 -j $DP

#Liberar acesso na saída do Firewall

$IPT -A OUTPUT -p icmp -m icmp ! --icmp-type 0 -m limit --limit 2/s -j $AP

$IPT -A OUTPUT -m state --state NEW,ESTABLISHED -j $AP

#Algumas regras de Bloqueio

$IPT -t mangle -A PREROUTING -i $WAN -s 0/0 --dport 23 -j $DP

$IPT -t mangle -A PREROUTING -i $LAN -m iprange --src-range 192.168.1.1-192.168.1.49 -d 0/0 -p tcp --sport 1024:65535 --dport 80:443 -m string --algo bm --string "facebook" -j $DP

#Bloqueio de Traceroute

$IPT -A C_ARP -p udp -m udp -s 0/0 --dport 33435:33525 -j $DP