82 lines
2 KiB
Text
82 lines
2 KiB
Text
#! /sbin/nft -f
|
|
|
|
# Remise à zéro des règles du pare-feu
|
|
flush ruleset
|
|
|
|
# Inclusion des dépendances
|
|
include "archi.nft"
|
|
include "checkmac.nft"
|
|
include "nat.nft"
|
|
|
|
# Table principale
|
|
table inet firewall {
|
|
|
|
chain dispatch {
|
|
# Définition de la chaîne. On s'occupe du forward.
|
|
type filter hook forward priority 0;
|
|
|
|
# Politique par défaut : tout jeter.
|
|
policy drop;
|
|
|
|
# Applique la politique globale
|
|
jump global
|
|
|
|
# Filtre sur les interfaces entrantes, ne pas accepter
|
|
# directement dans la chaine, mais retourner.
|
|
# Par convention pour le routage, on vérifie dans la chaîne to_ que
|
|
# le passage d'un vlan à l'autre est autorisé.
|
|
#
|
|
# On utilise des jumps pour revenir ici une fois la chaîne évaluée.
|
|
meta iif vmap {
|
|
$if_adherent : jump from_adh,
|
|
$if_admin : jump from_admin,
|
|
$if_federez : jump from_federez,
|
|
$if_supelec : jump from_supelec,
|
|
$if_aloes : jump from_aloes,
|
|
$if_prerezotage : jump from_prerezotage,
|
|
$if_dmz: jump from_dmz
|
|
}
|
|
|
|
# Filtre sur les interfaces sortantes, ne pas retourner : drop ou
|
|
# accept
|
|
# On utilise des goto pour ne pas revenir ici une fois la chaîne
|
|
# évaluée.
|
|
meta oif vmap {
|
|
$if_adherent : goto to_adh,
|
|
$if_admin : goto to_admin,
|
|
$if_federez : goto to_federez,
|
|
$if_supelec : goto to_supelec,
|
|
$if_aloes : goto to_aloes,
|
|
$if_prerezotage : goto to_prerezotage,
|
|
$if_dmz: goto to_dmz
|
|
}
|
|
|
|
# Un compteur qui doit être à 0 si on a bien fait notre travail.
|
|
counter
|
|
}
|
|
|
|
chain input {
|
|
type filter hook input priority 0;
|
|
policy drop;
|
|
# Nos passerelles font beaucoup de choses...
|
|
tcp dport {http, https, ssh, dns, dhcp, radius} accept;
|
|
# On a le droit de parler avec nous même.
|
|
iif lo accept;
|
|
counter
|
|
}
|
|
|
|
chain output {
|
|
type filter hook output priority 0;
|
|
policy accept;
|
|
}
|
|
|
|
}
|
|
|
|
table nat {
|
|
# TODO : on met 27 Ips internes par ip publiques
|
|
# Users : 193.48.225.10-119
|
|
# Prerezotage 193.48.225.240-254
|
|
# Aloes : 193.48.225.120-129
|
|
# Federez : 193.48.225.130-199
|
|
# Server : 193.48.225.200-209
|
|
}
|