iptables.init

   1 #!/bin/sh
   2 #
   3 # iptables      Start iptables firewall
   4 #
   5 # chkconfig: 2345 08 92
   6 # description:  Starts, stops and saves iptables firewall
   7 #
   8 # config: /etc/sysconfig/iptables
   9 # config: /etc/sysconfig/iptables-config
  10 #
  11 ### BEGIN INIT INFO
  12 # Provides: iptables
  13 # Required-Start:
  14 # Required-Stop:
  15 # Default-Start: 2 3 4 5
  16 # Default-Stop: 0 1 6
  17 # Short-Description: start and stop iptables firewall
  18 # Description: Start, stop and save iptables firewall
  19 ### END INIT INFO
  20
  21 # Source function library.
  22 . /etc/init.d/functions
  23
  24 IPTABLES=iptables
  25 IPTABLES_DATA=/etc/sysconfig/$IPTABLES
  26 IPTABLES_CONFIG=/etc/sysconfig/${IPTABLES}-config
  27 IPV=${IPTABLES%tables} # ip for ipv4 | ip6 for ipv6
  28 [ "$IPV" = "ip" ] && _IPV="ipv4" || _IPV="ipv6"
  29 PROC_IPTABLES_NAMES=/proc/net/${IPV}_tables_names
  30 VAR_SUBSYS_IPTABLES=/var/lock/subsys/$IPTABLES
  31
  32 if [ ! -x /sbin/$IPTABLES ]; then
  33     echo -n $"${IPTABLES}: /sbin/$IPTABLES does not exist."; warning; echo
  34     exit 5
  35 fi
  36
  37 # Old or new modutils
  38 /sbin/modprobe --version 2>&1 | grep -q module-init-tools \
  39     && NEW_MODUTILS=1 \
  40     || NEW_MODUTILS=0
  41
  42 # Default firewall configuration:
  43 IPTABLES_MODULES=""
  44 IPTABLES_MODULES_UNLOAD="yes"
  45 IPTABLES_SAVE_ON_STOP="no"
  46 IPTABLES_SAVE_ON_RESTART="no"
  47 IPTABLES_SAVE_COUNTER="no"
  48 IPTABLES_STATUS_NUMERIC="yes"
  49 IPTABLES_STATUS_VERBOSE="no"
  50 IPTABLES_STATUS_LINENUMBERS="yes"
  51
  52 # Load firewall configuration.
  53 [ -f "$IPTABLES_CONFIG" ] && . "$IPTABLES_CONFIG"
  54
  55 # Netfilter modules
  56 NF_MODULES=($(lsmod | awk "/^${IPV}table_/ {print \$1}") ${IPV}_tables)
  57 NF_MODULES_COMMON=(x_tables nf_nat nf_conntrack) # Used by netfilter v4 and v6
  58
  59 # Get active tables
  60 NF_TABLES=$(cat "$PROC_IPTABLES_NAMES" 2>/dev/null)
  61
  62
  63 rmmod_r() {
  64     # Unload module with all referring modules.
  65     # At first all referring modules will be unloaded, then the module itself.
  66     local mod=$1
  67     local ret=0
  68     local ref=
  69
  70     # Get referring modules.
  71     # New modutils have another output format.
  72     [ $NEW_MODUTILS = 1 ] \
  73         && ref=$(lsmod | awk "/^${mod}/ { print \$4; }" | tr ',' ' ') \
  74         || ref=$(lsmod | grep ^${mod} | cut -d "[" -s -f 2 | cut -d "]" -s -f 1)
  75
  76     # recursive call for all referring modules
  77     for i in $ref; do
  78         rmmod_r $i
  79         let ret+=$?;
  80     done
  81
  82     # Unload module.
  83     # The extra test is for 2.6: The module might have autocleaned,
  84     # after all referring modules are unloaded.
  85     if grep -q "^${mod}" /proc/modules ; then
  86         modprobe -r $mod > /dev/null 2>&1
  87         res=$?
  88         [ $res -eq 0 ] || echo -n " $mod"
  89         let ret+=$res;
  90     fi
  91
  92     return $ret
  93 }
  94
  95 flush_n_delete() {
  96     # Flush firewall rules and delete chains.
  97     [ ! -e "$PROC_IPTABLES_NAMES" ] && return 0
  98
  99     # Check if firewall is configured (has tables)
 100     [ -z "$NF_TABLES" ] && return 1
 101
 102     echo -n $"${IPTABLES}: Flushing firewall rules: "
 103     ret=0
 104     # For all tables
 105     for i in $NF_TABLES; do
 106         # Flush firewall rules.
 107         $IPTABLES -t $i -F;
 108         let ret+=$?;
 109
 110         # Delete firewall chains.
 111         $IPTABLES -t $i -X;
 112         let ret+=$?;
 113
 114         # Set counter to zero.
 115         $IPTABLES -t $i -Z;
 116         let ret+=$?;
 117     done
 118
 119     [ $ret -eq 0 ] && success || failure
 120     echo
 121     return $ret
 122 }
 123
 124 set_policy() {
 125     # Set policy for configured tables.
 126     policy=$1
 127
 128     # Check if iptable module is loaded
 129     [ ! -e "$PROC_IPTABLES_NAMES" ] && return 0
 130
 131     # Check if firewall is configured (has tables)
 132     tables=$(cat "$PROC_IPTABLES_NAMES" 2>/dev/null)
 133     [ -z "$tables" ] && return 1
 134
 135     echo -n $"${IPTABLES}: Setting chains to policy $policy: "
 136     ret=0
 137     for i in $tables; do
 138         echo -n "$i "
 139         case "$i" in
 140             raw)
 141                 $IPTABLES -t raw -P PREROUTING $policy \
 142                     && $IPTABLES -t raw -P OUTPUT $policy \
 143                     || let ret+=1
 144                 ;;
 145             filter)
 146                 $IPTABLES -t filter -P INPUT $policy \
 147                     && $IPTABLES -t filter -P OUTPUT $policy \
 148                     && $IPTABLES -t filter -P FORWARD $policy \
 149                     || let ret+=1
 150                 ;;
 151             nat)
 152                 $IPTABLES -t nat -P PREROUTING $policy \
 153                     && $IPTABLES -t nat -P POSTROUTING $policy \
 154                     && $IPTABLES -t nat -P OUTPUT $policy \
 155                     || let ret+=1
 156                 ;;
 157             mangle)
 158                 $IPTABLES -t mangle -P PREROUTING $policy \
 159                     && $IPTABLES -t mangle -P POSTROUTING $policy \
 160                     && $IPTABLES -t mangle -P INPUT $policy \
 161                     && $IPTABLES -t mangle -P OUTPUT $policy \
 162                     && $IPTABLES -t mangle -P FORWARD $policy \
 163                     || let ret+=1
 164                 ;;
 165             *)
 166                 let ret+=1
 167                 ;;
 168         esac
 169     done
 170
 171     [ $ret -eq 0 ] && success || failure
 172     echo
 173     return $ret
 174 }
 175
 176 start() {
 177     # Do not start if there is no config file.
 178     [ ! -f "$IPTABLES_DATA" ] && return 6
 179
 180     # check if ipv6 module load is deactivated
 181     if [ "${_IPV}" = "ipv6" ] \
 182         && grep -qIsE "^install[[:space:]]+${_IPV}[[:space:]]+/bin/(true|false)" /etc/modprobe.conf /etc/modprobe.d/* ; then
 183         echo $"${IPTABLES}: ${_IPV} is disabled."
 184         return 150
 185     fi
 186
 187     echo -n $"${IPTABLES}: Applying firewall rules: "
 188
 189     OPT=
 190     [ "x$IPTABLES_SAVE_COUNTER" = "xyes" ] && OPT="-c"
 191
 192     $IPTABLES-restore $OPT $IPTABLES_DATA
 193     if [ $? -eq 0 ]; then
 194         success; echo
 195     else
 196         failure; echo; return 1
 197     fi
 198
 199     # Load additional modules (helpers)
 200     if [ -n "$IPTABLES_MODULES" ]; then
 201         echo -n $"${IPTABLES}: Loading additional modules: "
 202         ret=0
 203         for mod in $IPTABLES_MODULES; do
 204             echo -n "$mod "
 205             modprobe $mod > /dev/null 2>&1
 206             let ret+=$?;
 207         done
 208         [ $ret -eq 0 ] && success || failure
 209         echo
 210     fi
 211
 212     touch $VAR_SUBSYS_IPTABLES
 213     return $ret
 214 }
 215
 216 stop() {
 217     # Do not stop if iptables module is not loaded.
 218     [ ! -e "$PROC_IPTABLES_NAMES" ] && return 0
 219
 220     flush_n_delete
 221     set_policy ACCEPT
 222
 223     if [ "x$IPTABLES_MODULES_UNLOAD" = "xyes" ]; then
 224         echo -n $"${IPTABLES}: Unloading modules: "
 225         ret=0
 226         for mod in ${NF_MODULES[*]}; do
 227             rmmod_r $mod
 228             let ret+=$?;
 229         done
 230         # try to unload remaining netfilter modules used by ipv4 and ipv6
 231         # netfilter
 232         for mod in ${NF_MODULES_COMMON[*]}; do
 233             rmmod_r $mod >/dev/null
 234         done
 235         [ $ret -eq 0 ] && success || failure
 236         echo
 237     fi
 238
 239     rm -f $VAR_SUBSYS_IPTABLES
 240     return $ret
 241 }
 242
 243 save() {
 244     # Check if iptable module is loaded
 245     [ ! -e "$PROC_IPTABLES_NAMES" ] && return 0
 246
 247     # Check if firewall is configured (has tables)
 248     [ -z "$NF_TABLES" ] && return 6
 249
 250     echo -n $"${IPTABLES}: Saving firewall rules to $IPTABLES_DATA: "
 251
 252     OPT=
 253     [ "x$IPTABLES_SAVE_COUNTER" = "xyes" ] && OPT="-c"
 254
 255     ret=0
 256     TMP_FILE=$(/bin/mktemp -q /tmp/$IPTABLES.XXXXXX) \
 257         && chmod 600 "$TMP_FILE" \
 258         && $IPTABLES-save $OPT > $TMP_FILE 2>/dev/null \
 259         && size=$(stat -c '%s' $TMP_FILE) && [ $size -gt 0 ] \
 260         || ret=1
 261     if [ $ret -eq 0 ]; then
 262         if [ -e $IPTABLES_DATA ]; then
 263             cp -f $IPTABLES_DATA $IPTABLES_DATA.save \
 264                 && chmod 600 $IPTABLES_DATA.save \
 265                 || ret=1
 266         fi
 267         if [ $ret -eq 0 ]; then
 268             cp -f $TMP_FILE $IPTABLES_DATA \
 269                 && chmod 600 $IPTABLES_DATA \
 270                 || ret=1
 271         fi
 272     fi
 273     [ $ret -eq 0 ] && success || failure
 274     echo
 275     rm -f $TMP_FILE
 276     return $ret
 277 }
 278
 279 status() {
 280     if [ ! -f "$VAR_SUBSYS_IPTABLES" -a -z "$NF_TABLES" ]; then
 281         echo $"${IPTABLES}: Firewall is not running."
 282         return 3
 283     fi
 284
 285     # Do not print status if lockfile is missing and iptables modules are not
 286     # loaded.
 287     # Check if iptable modules are loaded
 288     if [ ! -e "$PROC_IPTABLES_NAMES" ]; then
 289         echo $"${IPTABLES}: Firewall modules are not loaded."
 290         return 3
 291     fi
 292
 293     # Check if firewall is configured (has tables)
 294     if [ -z "$NF_TABLES" ]; then
 295         echo $"${IPTABLES}: Firewall is not configured. "
 296         return 3
 297     fi
 298
 299     NUM=
 300     [ "x$IPTABLES_STATUS_NUMERIC" = "xyes" ] && NUM="-n"
 301     VERBOSE=
 302     [ "x$IPTABLES_STATUS_VERBOSE" = "xyes" ] && VERBOSE="--verbose"
 303     COUNT=
 304     [ "x$IPTABLES_STATUS_LINENUMBERS" = "xyes" ] && COUNT="--line-numbers"
 305
 306     for table in $NF_TABLES; do
 307         echo $"Table: $table"
 308         $IPTABLES -t $table --list $NUM $VERBOSE $COUNT && echo
 309     done
 310
 311     return 0
 312 }
 313
 314 restart() {
 315     [ "x$IPTABLES_SAVE_ON_RESTART" = "xyes" ] && save
 316     stop
 317     start
 318 }
 319
 320
 321 case "$1" in
 322     start)
 323         [ -f "$VAR_SUBSYS_IPTABLES" ] && exit 0
 324         start
 325         RETVAL=$?
 326         ;;
 327     stop)
 328         [ "x$IPTABLES_SAVE_ON_STOP" = "xyes" ] && save
 329         stop
 330         RETVAL=$?
 331         ;;
 332     restart|force-reload)
 333         restart
 334         RETVAL=$?
 335         ;;
 336     condrestart|try-restart)
 337         [ ! -e "$VAR_SUBSYS_IPTABLES" ] && exit 0
 338         restart
 339         RETVAL=$?
 340         ;;
 341     status)
 342         status
 343         RETVAL=$?
 344         ;;
 345     panic)
 346         flush_n_delete
 347         set_policy DROP
 348         RETVAL=$?
 349         ;;
 350     save)
 351         save
 352         RETVAL=$?
 353         ;;
 354     *)
 355         echo $"Usage: ${IPTABLES} {start|stop|restart|condrestart|status|panic|save}"
 356         RETVAL=2
 357         ;;
 358 esac
 359
 360 exit $RETVAL