#!/bin/sh

. /etc/rc.conf
. /etc/rc.d/functions

i=`which iptables`

case $1 in

start)

    if [ -e /proc/sys/net/ipv4/tcp_ecn ];then
        echo 0 > /proc/sys/net/ipv4/tcp_ecn
    fi

    if [ -e /proc/sys/net/ipv4/tcp_syncookies ] ; then
        echo 1 > /proc/sys/net/ipv4/tcp_syncookies
    fi

    for f in /proc/sys/net/ipv4/conf/*/rp_filter; do
        echo  1 > $f
    done

    $i -F
    $i -F -t nat

    $i -P INPUT DROP
    $i -P FORWARD DROP
    $i -P OUTPUT ACCEPT

    # interfejs lo
    $i -A INPUT -i lo -j ACCEPT
    $i -A FORWARD -o lo -j ACCEPT

    #ftp tylko z sieci
    $i -A INPUT -p tcp -s 192.168.1.0/24 --dport 20 -j ACCEPT
    $i -A INPUT -p tcp -s 192.168.1.0/24 --dport 21 -j ACCEPT

    #ventrilo
    $i -A INPUT -p tcp --dport 3784 -j ACCEPT

    #www
    $i -A INPUT -p tcp --dport 80 -j ACCEPT

    #ssh tylko z sieci
    $i -A INPUT -p tcp -s 192.168.1.0/24 --dport 22 -j ACCEPT

    #dc tylko z sieci
    $i -A INPUT -p tcp -s 192.168.1.0/24 --dport 411 -j ACCEPT
    $i -A INPUT -p tcp -s 192.168.1.0/24 --dport 53696 -j ACCEPT

    # pingi pozwalamy
    $i -A INPUT -p icmp --icmp-type echo-request -j ACCEPT -m limit --limit 1/sec


    # Zezwalamy na wszystko co odbywa sie w ramach juz dozwolonych polaczen
    $i -A INPUT -j ACCEPT -m state --state ESTABLISHED,RELATED
    $i -A FORWARD -j ACCEPT -m state --state ESTABLISHED,RELATED
    wynik
    ;;
stop)
    $i -F INPUT
    $i -F FORWARD
    $i -F OUTPUT

    $i -P INPUT DROP
    $i -P FORWARD DROP
    $i -P OUTPUT DROP
    wynik
    ;;
esac