build root fix
[iptables.git] / iptables.init
1 #!/bin/sh
2 #
3 # iptables      Start iptables firewall
4 #
5 # chkconfig: 2345 08 92
6 # description:  Starts, stops and saves iptables firewall
7 #
8 # config: /etc/sysconfig/iptables
9 # config: /etc/sysconfig/iptables-config
10 #
11 ### BEGIN INIT INFO
12 # Provides: iptables
13 # Required-Start:
14 # Required-Stop:
15 # Default-Start: 2 3 4 5
16 # Default-Stop: 0 1 6
17 # Short-Description: start and stop iptables firewall
18 # Description: Start, stop and save iptables firewall
19 ### END INIT INFO
20
21 # Source function library.
22 . /etc/init.d/functions
23
24 IPTABLES=iptables
25 IPTABLES_DATA=/etc/sysconfig/$IPTABLES
26 IPTABLES_CONFIG=/etc/sysconfig/${IPTABLES}-config
27 IPV=${IPTABLES%tables} # ip for ipv4 | ip6 for ipv6
28 [ "$IPV" = "ip" ] && _IPV="ipv4" || _IPV="ipv6"
29 PROC_IPTABLES_NAMES=/proc/net/${IPV}_tables_names
30 VAR_SUBSYS_IPTABLES=/var/lock/subsys/$IPTABLES
31
32 if [ ! -x /sbin/$IPTABLES ]; then
33     echo -n $"${IPTABLES}: /sbin/$IPTABLES does not exist."; warning; echo
34     exit 5
35 fi
36
37 # Old or new modutils
38 /sbin/modprobe --version 2>&1 | grep -q module-init-tools \
39     && NEW_MODUTILS=1 \
40     || NEW_MODUTILS=0
41
42 # Default firewall configuration:
43 IPTABLES_MODULES=""
44 IPTABLES_MODULES_UNLOAD="yes"
45 IPTABLES_SAVE_ON_STOP="no"
46 IPTABLES_SAVE_ON_RESTART="no"
47 IPTABLES_SAVE_COUNTER="no"
48 IPTABLES_STATUS_NUMERIC="yes"
49 IPTABLES_STATUS_VERBOSE="no"
50 IPTABLES_STATUS_LINENUMBERS="yes"
51
52 # Load firewall configuration.
53 [ -f "$IPTABLES_CONFIG" ] && . "$IPTABLES_CONFIG"
54
55 # Netfilter modules
56 NF_MODULES=($(lsmod | awk "/^${IPV}table_/ {print \$1}") ${IPV}_tables)
57 NF_MODULES_COMMON=(x_tables nf_nat nf_conntrack) # Used by netfilter v4 and v6
58
59 # Get active tables
60 NF_TABLES=$(cat "$PROC_IPTABLES_NAMES" 2>/dev/null)
61
62
63 rmmod_r() {
64     # Unload module with all referring modules.
65     # At first all referring modules will be unloaded, then the module itself.
66     local mod=$1
67     local ret=0
68     local ref=
69
70     # Get referring modules.
71     # New modutils have another output format.
72     [ $NEW_MODUTILS = 1 ] \
73         && ref=$(lsmod | awk "/^${mod}/ { print \$4; }" | tr ',' ' ') \
74         || ref=$(lsmod | grep ^${mod} | cut -d "[" -s -f 2 | cut -d "]" -s -f 1)
75
76     # recursive call for all referring modules
77     for i in $ref; do
78         rmmod_r $i
79         let ret+=$?;
80     done
81
82     # Unload module.
83     # The extra test is for 2.6: The module might have autocleaned,
84     # after all referring modules are unloaded.
85     if grep -q "^${mod}" /proc/modules ; then
86         modprobe -r $mod > /dev/null 2>&1
87         res=$?
88         [ $res -eq 0 ] || echo -n " $mod"
89         let ret+=$res;
90     fi
91
92     return $ret
93 }
94
95 flush_n_delete() {
96     # Flush firewall rules and delete chains.
97     [ ! -e "$PROC_IPTABLES_NAMES" ] && return 0
98
99     # Check if firewall is configured (has tables)
100     [ -z "$NF_TABLES" ] && return 1
101
102     echo -n $"${IPTABLES}: Flushing firewall rules: "
103     ret=0
104     # For all tables
105     for i in $NF_TABLES; do
106         # Flush firewall rules.
107         $IPTABLES -t $i -F;
108         let ret+=$?;
109
110         # Delete firewall chains.
111         $IPTABLES -t $i -X;
112         let ret+=$?;
113
114         # Set counter to zero.
115         $IPTABLES -t $i -Z;
116         let ret+=$?;
117     done
118
119     [ $ret -eq 0 ] && success || failure
120     echo
121     return $ret
122 }
123
124 set_policy() {
125     # Set policy for configured tables.
126     policy=$1
127
128     # Check if iptable module is loaded
129     [ ! -e "$PROC_IPTABLES_NAMES" ] && return 0
130
131     # Check if firewall is configured (has tables)
132     tables=$(cat "$PROC_IPTABLES_NAMES" 2>/dev/null)
133     [ -z "$tables" ] && return 1
134
135     echo -n $"${IPTABLES}: Setting chains to policy $policy: "
136     ret=0
137     for i in $tables; do
138         echo -n "$i "
139         case "$i" in
140             raw)
141                 $IPTABLES -t raw -P PREROUTING $policy \
142                     && $IPTABLES -t raw -P OUTPUT $policy \
143                     || let ret+=1
144                 ;;
145             filter)
146                 $IPTABLES -t filter -P INPUT $policy \
147                     && $IPTABLES -t filter -P OUTPUT $policy \
148                     && $IPTABLES -t filter -P FORWARD $policy \
149                     || let ret+=1
150                 ;;
151             nat)
152                 $IPTABLES -t nat -P PREROUTING $policy \
153                     && $IPTABLES -t nat -P POSTROUTING $policy \
154                     && $IPTABLES -t nat -P OUTPUT $policy \
155                     || let ret+=1
156                 ;;
157             mangle)
158                 $IPTABLES -t mangle -P PREROUTING $policy \
159                     && $IPTABLES -t mangle -P POSTROUTING $policy \
160                     && $IPTABLES -t mangle -P INPUT $policy \
161                     && $IPTABLES -t mangle -P OUTPUT $policy \
162                     && $IPTABLES -t mangle -P FORWARD $policy \
163                     || let ret+=1
164                 ;;
165             *)
166                 let ret+=1
167                 ;;
168         esac
169     done
170
171     [ $ret -eq 0 ] && success || failure
172     echo
173     return $ret
174 }
175
176 start() {
177     # Do not start if there is no config file.
178     [ ! -f "$IPTABLES_DATA" ] && return 6
179
180     # check if ipv6 module load is deactivated
181     if [ "${_IPV}" = "ipv6" ] \
182         && grep -qIsE "^install[[:space:]]+${_IPV}[[:space:]]+/bin/(true|false)" /etc/modprobe.conf /etc/modprobe.d/* ; then
183         echo $"${IPTABLES}: ${_IPV} is disabled."
184         return 150
185     fi
186
187     echo -n $"${IPTABLES}: Applying firewall rules: "
188
189     OPT=
190     [ "x$IPTABLES_SAVE_COUNTER" = "xyes" ] && OPT="-c"
191
192     $IPTABLES-restore $OPT $IPTABLES_DATA
193     if [ $? -eq 0 ]; then
194         success; echo
195     else
196         failure; echo; return 1
197     fi
198     
199     # Load additional modules (helpers)
200     if [ -n "$IPTABLES_MODULES" ]; then
201         echo -n $"${IPTABLES}: Loading additional modules: "
202         ret=0
203         for mod in $IPTABLES_MODULES; do
204             echo -n "$mod "
205             modprobe $mod > /dev/null 2>&1
206             let ret+=$?;
207         done
208         [ $ret -eq 0 ] && success || failure
209         echo
210     fi
211     
212     touch $VAR_SUBSYS_IPTABLES
213     return $ret
214 }
215
216 stop() {
217     # Do not stop if iptables module is not loaded.
218     [ ! -e "$PROC_IPTABLES_NAMES" ] && return 0
219
220     flush_n_delete
221     set_policy ACCEPT
222     
223     if [ "x$IPTABLES_MODULES_UNLOAD" = "xyes" ]; then
224         echo -n $"${IPTABLES}: Unloading modules: "
225         ret=0
226         for mod in ${NF_MODULES[*]}; do
227             rmmod_r $mod
228             let ret+=$?;
229         done
230         # try to unload remaining netfilter modules used by ipv4 and ipv6 
231         # netfilter
232         for mod in ${NF_MODULES_COMMON[*]}; do
233             rmmod_r $mod >/dev/null
234         done
235         [ $ret -eq 0 ] && success || failure
236         echo
237     fi
238     
239     rm -f $VAR_SUBSYS_IPTABLES
240     return $ret
241 }
242
243 save() {
244     # Check if iptable module is loaded
245     [ ! -e "$PROC_IPTABLES_NAMES" ] && return 0
246
247     # Check if firewall is configured (has tables)
248     [ -z "$NF_TABLES" ] && return 6
249
250     echo -n $"${IPTABLES}: Saving firewall rules to $IPTABLES_DATA: "
251
252     OPT=
253     [ "x$IPTABLES_SAVE_COUNTER" = "xyes" ] && OPT="-c"
254
255     ret=0
256     TMP_FILE=$(/bin/mktemp -q /tmp/$IPTABLES.XXXXXX) \
257         && chmod 600 "$TMP_FILE" \
258         && $IPTABLES-save $OPT > $TMP_FILE 2>/dev/null \
259         && size=$(stat -c '%s' $TMP_FILE) && [ $size -gt 0 ] \
260         || ret=1
261     if [ $ret -eq 0 ]; then
262         if [ -e $IPTABLES_DATA ]; then
263             cp -f $IPTABLES_DATA $IPTABLES_DATA.save \
264                 && chmod 600 $IPTABLES_DATA.save \
265                 || ret=1
266         fi
267         if [ $ret -eq 0 ]; then
268             cp -f $TMP_FILE $IPTABLES_DATA \
269                 && chmod 600 $IPTABLES_DATA \
270                 || ret=1
271         fi
272     fi
273     [ $ret -eq 0 ] && success || failure
274     echo
275     rm -f $TMP_FILE
276     return $ret
277 }
278
279 status() {
280     if [ ! -f "$VAR_SUBSYS_IPTABLES" -a -z "$NF_TABLES" ]; then
281         echo $"${IPTABLES}: Firewall is not running."
282         return 3
283     fi
284
285     # Do not print status if lockfile is missing and iptables modules are not 
286     # loaded.
287     # Check if iptable modules are loaded
288     if [ ! -e "$PROC_IPTABLES_NAMES" ]; then
289         echo $"${IPTABLES}: Firewall modules are not loaded."
290         return 3
291     fi
292
293     # Check if firewall is configured (has tables)
294     if [ -z "$NF_TABLES" ]; then
295         echo $"${IPTABLES}: Firewall is not configured. "
296         return 3
297     fi
298
299     NUM=
300     [ "x$IPTABLES_STATUS_NUMERIC" = "xyes" ] && NUM="-n"
301     VERBOSE= 
302     [ "x$IPTABLES_STATUS_VERBOSE" = "xyes" ] && VERBOSE="--verbose"
303     COUNT=
304     [ "x$IPTABLES_STATUS_LINENUMBERS" = "xyes" ] && COUNT="--line-numbers"
305
306     for table in $NF_TABLES; do
307         echo $"Table: $table"
308         $IPTABLES -t $table --list $NUM $VERBOSE $COUNT && echo
309     done
310
311     return 0
312 }
313
314 restart() {
315     [ "x$IPTABLES_SAVE_ON_RESTART" = "xyes" ] && save
316     stop
317     start
318 }
319
320
321 case "$1" in
322     start)
323         [ -f "$VAR_SUBSYS_IPTABLES" ] && exit 0
324         start
325         RETVAL=$?
326         ;;
327     stop)
328         [ "x$IPTABLES_SAVE_ON_STOP" = "xyes" ] && save
329         stop
330         RETVAL=$?
331         ;;
332     restart|force-reload)
333         restart
334         RETVAL=$?
335         ;;
336     condrestart|try-restart)
337         [ ! -e "$VAR_SUBSYS_IPTABLES" ] && exit 0
338         restart
339         RETVAL=$?
340         ;;
341     status)
342         status
343         RETVAL=$?
344         ;;
345     panic)
346         flush_n_delete
347         set_policy DROP
348         RETVAL=$?
349         ;;
350     save)
351         save
352         RETVAL=$?
353         ;;
354     *)
355         echo $"Usage: ${IPTABLES} {start|stop|restart|condrestart|status|panic|save}"
356         RETVAL=2
357         ;;
358 esac
359
360 exit $RETVAL