IPC

Wenn du einen LAN Server hast und einen Router in dem kein DMZ auf den Linux-Server eingerichtet ist, brauchst du auf dem Linux-LAN-Server eigentlich auch keine Firewall...
Vor was soll die denn schützen? Wenn du ssh(22) oder web(80) oder sowas nicht ins Internet weiterleitest, kann auch keiner aus dem Internet umbefugt versuchen sich dort einzuloggen o.ä...
Also jenachdem was du weiterleitest, das musst du dann schützen - aber wenn das nur CCcam oder OScam is was du forwardest, dann kann eine standard Firewall daran auch nichts ausrichten weil du vom Router kommend ja eh alles zulässt.... Das einzige was dann noch eingreifen kann wäre sowas wie fail2ban weil das quasi von der Cam bescheid kriegt wenn die entsprechende Zeile, worauf fail2ban reagieren soll, im jeweiligen Cam log auftaucht....

Bei Linux Firewall's sollte man nicht sowas wie ZoneAlarm oder so drunter verstehen - Windows ist allg. anfälliger für Schädlinge die zb "nachhause telefoniern" etc also von dem LAN-Rechner eine Verbindung nach draussen herstellen...
Sowas würde ohne ZoneAlarm immer gemacht werden dürfen weil nicht zu unterscheiden ist, ob das der echte Benutzer machen möchte oder nicht - also generell werden alle Herrausgehende Verbindungen zugelassen... ZoneAlarm aber überwacht eben ALLE Datenverbdinungen etc und jagt jedes Paket durch einen "detector" etc.... das verbrät dann aber natürlich auch Leistung und Bandbreite

Eine Klassische Firewall blockiert aber nur die Eingehenden Datenpakete also alles was von irgendwo zu dem Rechner ankommt... dh zb erlaubt man nur das was man auch wirklich rein lassen möchte und den ganzen Rest blockt man...
Und genau das macht ein normaler Router von haus aus! Aus dem LAN nach draussen darf alles - wenn erstmal ne verbindung zu zb ICQ hergestellt ist, dürfen diese Datenpakete dann auch "durch den Router" - aber alle ingehenden Datenpakete werden abgewiesen
Nur sobald du eben eine Port-Weiterleitung einrichtest, dann wird das was du dort eingestellt hast, rein gelassen - oder ein DMZ würde ALLES an die jeweilige LAN-IP weiterleiten...

#!/bin/sh
# script written by Gargi 2009 http://www.gargi.org

#needed modules
modprobe ip_conntrack_ftp

BLACKLIST=/usr/local/etc/blacklist.txt

#trigger for your ports
IN_ALLOWED_TCP="44232 44568 80"
OUT_ALLOWED_TCP=""
IN_ALLOWED_UDP=""
OUT_ALLOWED_UDP=""
IN_ALLOWED_ICMP=" "
OUT_ALLOWED_IMCP=" "

case "$1" in
start)

# Stopping IP trap
/etc/init.d/fail2ban stop
echo "Stopping fail2ban IP trap ..."

# Clear iptables
iptables -F

#Defaults
iptables -P INPUT DROP
iptables -P OUTPUT DROP
iptables -P FORWARD DROP

# loopback communication
iptables -A INPUT -i lo -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT

# persist on connections
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

# Ban blacklisted IPs
for x in `grep -v ^# $BLACKLIST | awk '{print $1}'`; do
echo "Blocking $x..."
iptables -A INPUT -t filter -s $x -j DROP
done

# TCP rules in
for port in $IN_ALLOWED_TCP; do
echo "Accepting TCP port $port"
iptables -A INPUT -t filter -p tcp --dport $port -j ACCEPT
done

# TCP rules out
for port in $OUT_ALLOWED_TCP; do
echo "Allowing sending over TCP port $port"
iptables -A OUTPUT -t filter -p tcp --dport $port -j ACCEPT
done

# UDP rules in
for port in $IN_ALLOWED_UDP; do
echo "Accepting UDP port $port"
iptables -A INPUT -t filter -p udp --dport $port -j ACCEPT
done

# UDP rules out
for port in $OUT_ALLOWED_UDP; do
echo "Allowing sending over UDP port $port"
iptables -A OUTPUT -t filter -p udp --dport $port -j ACCEPT
done

# ICMP rules in
for port in $IN_ALLOWED_ICMP; do
echo "Accepting ICMP port $port"
iptables -A INPUT -t filter -p icmp --dport $port -j ACCEPT
done

# ICMP rules out
for port in $OUT_ALLOWED_ICMP; do
echo "Allowing sending over ICMP port $port"
iptables -A OUTPUT -t filter -p icmp --dport $port -j ACCEPT
done

# Dropping startup requests
iptables -A INPUT -t filter -p tcp --syn -j DROP

# Restarting IP trap
/etc/init.d/fail2ban start
echo "Fire up IP trap again ..."
;;
stop)
/etc/init.d/fail2ban stop
iptables -F
iptables -P INPUT ACCEPT
iptables -P OUTPUT ACCEPT
echo "Warning! Firewall is stopped, server is unprotected now!"
;;
restart)
$0 stop
sleep 1
$0 start
;;
*)
echo "Usage $0 {start|stop|restart}"
;;
esac