criar na pratica alguém pode ajudar.

Abçs

Carlos

Carlos, você tem um script de firewall seu? Talvez seja
mais fácil tentar lhe ajudar com o que voce já começou.

Eu estou criando VMs para laboratório e não criei ainda os scripts.

Se você procura algum firewall, ou não tem nenhum, ou não sabe por onde começar, talvez algum desses possa te dar uma idéia :

Este tem interface gráfica e repositório próprio, que você pode adicionar no yum :
Installed Packages
fwbuilder.x86_64 5.1.0.3599-1.el6 @fwbuilder

http://www.fwbuilder.org/

Repositório:
http://packages.fwbuilder.org/rpm/stable/



Este é mais uma opção:
http://configserver.com/cp/csf.html

Tem interface texto simples e funcional, além de outras interfaces para CPanel, Wbemin, etc.

Abraços.

Tenta com este exemplo, faça seus teste e melhore o que você achar necessário.

ALL="0/0"
DVLan="eth0"
DVGW1="eth1"
REDE="192.168.1.0/24"
IPGW1="201.170.243.5"

# Limpado Regas
iptables -F
iptables -X
iptables -t nat -F

iptables -P INPUT ACCEPT
iptables -P OUTPUT ACCEPT
iptables -P FORWARD DROP

# Ativando repasse de pacotes
echo 1 > /proc/sys/net/ipv4/ip_forward
echo 1 > /proc/sys/net/ipv4/conf/all/rp_filter

# Carregando Modulos
/sbin/modprobe iptable_nat
/sbin/modprobe ip_conntrack
/sbin/modprobe ip_conntrack_ftp
/sbin/modprobe ip_tables
/sbin/modprobe ipt_limit
/sbin/modprobe ipt_LOG
/sbin/modprobe ipt_REJECT
/sbin/modprobe ip_nat_ftp
/sbin/modprobe ip_conntrack_irc

# Regras PreRouting
SiteForaProxy="200.201.174.207" #<- site da caixa por exemplo
iptables -t nat -A PREROUTING -p tcp -s $REDE --dport 80 -d $SiteForaProxy -j ACCEPT

EstacaoForaProxy="192.168.1.1"
iptables -t nat -A PREROUTING -p tcp -s $EstacaoForaProxy --dport 80 -j ACCEPT

#Proxy Transparente
iptables -t nat -A PREROUTING -p tcp -d $IPGW1 --dport 80 -j REDIRECT --to-ports 3128

# Redirenciomento de Porta para servidor Interno
ServdorTS="192.168.1.1"
iptables -t nat -A PREROUTING -p TCP -d $IPGW1 --dport 3389 -j DNAT --to-destination $ServidorTS:3389

#FORWARD
iptables -A FORWARD -t filter -j ACCEPT
iptables -A FORWARD -t filter -j ACCEPT -m state --state ESTABLISHED,RELATED

## Liberando estacoes
iptables -t nat -A POSTROUTING -s 192.168.1.1 -d $ALL -o $DVGW1 -j MASQUERADE


Neste exemplo você vai permitir que a estação com ip 192.168.1.1 navege sem passar pelo proxy e permiter acesso ao Terminal Service da estação.

Pesquise sobre essa ferramenta :

http://www.policyd.org/

Segundo posts, somente com o postfix não é possível :

...
"Postfix does not have built in support for rate limiting, you will have to use a policy daemon for that. a good one is policyd http://www.policyd.org/tiki-index.ph...ModuleFeatures "
...

http://www.howtoforge.com/forums/showthread.php?t=41131

Desculpe. Errei o tópico :)

Estefanio você pode explicar como funciona os scripts do firewall, como :


# Regras PreRouting

#EstacaoForaProxy="192.168.1.1"

quero saber o seguinte , qual desses scripts garantem que ninguém vai acessar se remover as informações que eu configurei no navegador ????

David, o que temos aqui é somente um exerício para iniciar o aprendizado. Então isto não é a melhor solução ok.

Na minha santa inocência eu achei que ja estava tudo explicadinho, kkkk. Vamos lá!

A regra a baixo força todo mundo a passar pelo proxy, então você não precisa configurar o navegador das estãções. Ferramentas/Opções da Internet/Conexões/Configuração da Lan = Tudo desmarcado

#Proxy Transparente
iptables -t nat -A PREROUTING -p tcp -d $IPGW1 --dport 80 -j REDIRECT --to-ports 3128

A regra abaixo é para você tirar o estação do proxy, por exemplo sua maquina, a maquina do chefe, da moça do financeiro, etc... Caso voce precise.

EstacaoForaProxy="192.168.1.1" # < Sua maquina
iptables -t nat -A PREROUTING -p tcp -s $EstacaoForaProxy --dport 80 -j ACCEPT

EstacaoForaProxy2="192.168.1.2" # < Maquina do Chefe
iptables -t nat -A PREROUTING -p tcp -s $EstacaoForaProxy2 --dport 80 -j ACCEPT


EstacaoForaProxy3="192.168.1.3" # < Maquina Financeiro
iptables -t nat -A PREROUTING -p tcp -s $EstacaoForaProxy3 --dport 80 -j ACCEPT

A regra abaixo é obrigatoria, como voce tirou a maquina 192.168.1.X do proxy você precisa dar NAT, porque se não, elas não vão navegar.

## Liberando estacoes

#Liberando Nat para sua maquina
iptables -t nat -A POSTROUTING -s 192.168.1.1 -d $ALL -o $DVGW1 -j MASQUERADE

#Liberando Nat o maquina do chefe
iptables -t nat -A POSTROUTING -s 192.168.1.2 -d $ALL -o $DVGW1 -j MASQUERADE

#Liberando Nat o maquina do Financeiro
iptables -t nat -A POSTROUTING -s 192.168.1.3 -d $ALL -o $DVGW1 -j MASQUERADE

O restante da sua rede 192.168.1.4 a 192.168.1.253, isto imaginando que o 254 é o ip do seu proxy.

Neste script David, eu não fiz regras para o INPUT, OUTPUT, o que tem de FORWARD, PREOUTING e POSTROUTING é muito básico.

O assunto é muito extenso, o melhor é voce pegar a documentação e ler, você fica livre de erros de escrita e de interpretações erradas.

Outra, situação que você pode precisar! Você libera NAT para a estação mas ela ainda continua passando pelo proxy

#Liberando Nat o maquina XXXX
iptables -t nat -A POSTROUTING -s 192.168.1.4 -d $ALL -o $DVGW1 -j MASQUERADE