~ubuntu-branches/debian/sid/shorewall/sid

######################################################################################################################################################################################################

# 

# Entries in this file govern connection establishment by defining exceptions to

# and responses are automatically allowed using connection tracking. For any

# particular (source,dest) pair of zones, the rules are evaluated in the order in

# which they appear in this file and the first terminating match is the one that

# and RELATED sections must be empty.

# 

# An except is made if you are running Shorewall 4.4.27 or later and you have

# that case, you may have rules in the RELATED section of this file.

# 

# You may omit any section that you don't need. If no Section Headers appear in

#     ADD(ipset:flags)

# 

#         Added in Shorewall 4.4.12. Causes addresses and/or port numbers to be

#         added to the set and must match the type of ipset involved. For

#         example, for an iphash ipset, either the SOURCE or DESTINATION address

#         can be added using flags src or dst respectively (see the -A command in

#     DEL(ipset:flags)

# 

#         Added in Shorewall 4.4.12. Causes an entry to be deleted from the named

#         set and must match the type of ipset involved. For example, for an

#         using flags src or dst respectively (see the -D command in ipset (8)).

# 

#         DEL is non-terminating. Even if a packet matches the rule, it is passed

# 

#     NFLOG[(nflog-parameters)]

# 

#         logging daemon via a netlink socket then continues to the next rule.

#         See http://www.shorewall.net/shorewall_logging.html.

# 

# 

#     ULOG[(ulog-parameters)]

# 

# 

#         Similar to LOG:ULOG[(ulog-parameters)], except that the log level is

#         not changed when this ACTION is used in an action or macro body and the

#     address-or-range]...[exclusion]|exclusion|+ipset|^countrycode-list}

# 

#     Source hosts to which the rule applies. May be a zone declared in /etc/

#     all+- or none.

# 

#     Beginning with Shorewall 4.4.13, you may use a zone-list which consists of

#     zone-list may be optionally followed by "+" to indicate that the rule is to

#     apply to intra-zone traffic as well as inter-zone traffic.

# 

#     When none is used either in the SOURCE or DEST column, the rule is ignored.

# 

#     all means "All Zones", including the firewall itself. all- means "All

#     SOURCE or DEST column intra-zone traffic is not affected. When all+[-] is

#     "used, intra-zone traffic is affected. Beginning with Shorewall 4.4.13,

#     exclusion is supported -- see see shorewall-exclusion(5).

#     zones). Note that any excludes all vserver zones, since those zones are

#     nested within the firewall zone.

# 

#     lowaddress-highaddress. This requires that your kernel and iptables contain

#     iprange match support. If your kernel and iptables have ipset match support

#     then you may give the name of an ipset prefaced by "+". The ipset name may

#     ([]) to indicate the number of levels of source bindings to be matched.

# 

#     Beginning with Shorewall 4.4.17, the primary IP address of a firewall

#     name of the interface as found in the INTERFACE column of

#     shorewall-interfaces (5).

# 

#     indicate the firewall itself, all. all+ or none.

# 

#     Beginning with Shorewall 4.4.13, you may use a zone-list which consists of

#     zone-list may be optionally followed by "+" to indicate that the rule is to

#     apply to intra-zone traffic as well as inter-zone traffic.

# 

#     If you kernel and iptables have ipset match support then you may give the

#     name of an ipset prefaced by "+". The ipset name may be optionally followed

#     by a number from 1 to 6 enclosed in square brackets ([]) to indicate the

#     SOURCE and DEST columns may specify an ipset name.

# 

#     Beginning with Shorewall 4.4.17, the primary IP address of a firewall

#     name of the interface as found in the INTERFACE column of

#     shorewall-interfaces (5).

# 

#     The port that the server is listening on may be included and separated from

#     the destination port. A destination port may only be included if the ACTION

#     is DNAT or REDIRECT.

# 

# 

#     The port may be specified as a service name. You may specify a port range

#     in the form lowport-highport to cause connections to be assigned to ports

#     lowport and highport must be given as integers; service names are not

#     :random which causes assignment to ports in the list to be random.

# 

#     If the ACTION is REDIRECT or REDIRECT-, this column needs only to contain

#     Optional destination Ports. A comma-separated list of Port names (from

#     services(5)), port numbers or port ranges; if the protocol is icmp, this

#     column is interpreted as the destination icmp-type(s). ICMP types may be

#     (e.g., 3/4), or a typename. See http://www.shorewall.net/

#     configuration_file_basics.htm#ICMP. Note that prior to Shorewall 4.4.19,

# 

#     If the protocol is ipp2p, this column is interpreted as an ipp2p option

#     without the leading "--" (example bit for bit-torrent). If no port is

#     1. There are 15 or less ports listed.

# 

#     2. No port ranges are included or your kernel and iptables contain extended

# 

# SOURCE PORT(S) (sport) - {-|port-name-number-or-range[,

#     port-name-number-or-range]...}

#     Beginning with Shorewall 4.5.15, you may place '=' in this column, provided

#     that the DEST PORT(S) column is non-empty. This causes the rule to match

#     when either the source port or the destination port in a packet matches one

#     match in your iptables and kernel.

# 

#     Warning

#     1. There are 15 or less ports listed.

# 

#     2. No port ranges are included or your kernel and iptables contain extended

# 

# ORIGINAL DEST (origdest) - [-|address[,address]...[exclusion]|exclusion]

# 

#     listed.

# 

#     Beginning with Shorewall 4.4.17, the primary IP address of a firewall

#     name of the interface as found in the INTERFACE column of

#     shorewall-interfaces (5).

# 

# 

#     rate is the number of connections per interval (sec or min) and burst is

#     the largest burst permitted. If no burst is given, a value of 5 is assumed.

# 

#     Example: 10/sec:20

# 

#     the subnet source-address/mask. When ! is specified, the rule matches when

#     the number of connection exceeds the limit.

# 

# 

#     May be used to limit the rule to a particular time period each day, to

#     particular days of the week or month, or to a range defined by dates and

# 

#     Switch settings are retained over shorewall restart.

# 

#     =1, then the switch is initialized to off or on respectively by the start

#     command. Other commands do not affect the switch setting.

# 

# 

# Example 10:

# 

# 

#             #ACTION                       SOURCE           DEST           PROTO       DEST

#             #                                                                         PORT(S)