~mdw / firewall / blobdiff
? search:
summary | shortlog | log | commit | commitdiff | tree
raw | inline | side by side
{roadstar,jem,telecaster,stratocaster}.m4: Move Git to login servers.
[firewall] / local.m4
diff --git a/local.m4 b/local.m4
index 410e523..128d645 100644 (file)
--- a/local.m4
+++ b/local.m4
@@ -33,6 +33,83 @@ m4_divert(-1)
 ###--------------------------------------------------------------------------
 ### Packet classification.
 
 ###--------------------------------------------------------------------------
 ### Packet classification.
 
+## IPv4 addressing.
+##
+## There are two small blocks of publicly routable IPv4 addresses, and a
+## block of RFC1918 private-use addresses allocated from the Cambridge G-RIN.
+## The former are as follows.
+##
+## 62.49.204.144/28
+##             House border network (dmz).  We have all of these, but .145
+##             is reserved for the router.
+##
+## 212.13.18.64/28
+##             Jump colocated network (jump).  .65--68 are used by Jump
+##             network infrastructure; we get the rest.
+##
+## The latter is the block 172.29.196.0/22.  Currently the low half is
+## unallocated (and may be returned to the G-RIN); the remaining addresses
+## are allocated as follows.
+##
+## 172.29.198.0/24  Untrusted networks.
+##     .0/25           house wireless net
+##     .128/28         iodine (IP-over-DNS) network
+##
+## 172.29.199.0/24  Trusted networks.
+##     .0/25           house wired network
+##     .128/27         mobile VPN hosts
+##     .160/28         reserved, except .160/30 allocated for ITS
+##     .176/28         internal colocated network
+##     .192/27         house safe network
+##     .224/27         anycast services
+
+## IPv6 addressing.
+##
+## There are five blocks of publicly routable IPv6 addresses, though some of
+## them aren't very interesting.  The ranges are as follows.
+##
+## 2001:470:1f08:1b98::/64
+##             Hurricane Electric tunnel network: only :1 (HE) and :2
+##             (radius) are used.
+##
+## 2001:470:1f09:1b98::/64
+##             House border network (dmz).
+##
+## 2001:470:9740::/48
+##             Main house range.  See below for allocation policy.
+##
+## 2001:ba8:0:1d9::/64
+##             Jump border network (jump): :1 is the router (supplied by
+##             Jump); other addresses are ours.
+##
+## 2001:ba8:1d9::/48
+##             Main colocated range.  See below for allocation policy.
+##
+## Addresses in the /64 networks are simply allocated in ascending order.
+## The /48s are split into /64s by appending a 16-bit network number.  The
+## top nibble of the network number classifies the network, as follows.
+##
+## 8xxx                Untrusted
+## 6xxx                Virtual
+## 4xxx                Safe
+## 0xxx                Unsafe, trusted
+##
+## These have been chosen so that network properties can be deduced by
+## inspecting bits of the network number:
+##
+## Bit 15      If set, the network is untrusted; otherwise it is trusted.
+## Bit 14      If set, the network is safe; otherwise it is unsafe.
+##
+## Finally, the low-order nibbles identify the site.
+##
+## 0           No specific site: mobile VPN endpoints or anycast addresses.
+## 1           House.
+## 2           Jump colocation.
+##
+## Usually site-0 networks are allocated from the Jump range to improve
+## expected performance from/to external sites which don't engage in our
+## dynamic routing protocols.
+
 ## Define the available network classes.
 m4_divert(42)m4_dnl
 defnetclass untrusted untrusted trusted mcast
 ## Define the available network classes.
 m4_divert(42)m4_dnl
 defnetclass untrusted untrusted trusted mcast
@@ -60,8 +137,6 @@ defnet safe safe
 defnet untrusted untrusted
        addr 172.29.198.0/25 2001:470:9740:8001::/64
        forwards househub
 defnet untrusted untrusted
        addr 172.29.198.0/25 2001:470:9740:8001::/64
        forwards househub
-defnet iodine untrusted
-       addr 172.29.198.128/28
 
 defnet househub virtual
        forwards housebdry dmz unsafe safe untrusted
 
 defnet househub virtual
        forwards housebdry dmz unsafe safe untrusted
@@ -74,8 +149,9 @@ defhost radius
        hosttype router
        iface eth0 dmz unsafe safe untrusted vpn sgo colobdry default
        iface eth1 dmz unsafe safe untrusted vpn sgo colobdry default
        hosttype router
        iface eth0 dmz unsafe safe untrusted vpn sgo colobdry default
        iface eth1 dmz unsafe safe untrusted vpn sgo colobdry default
-       iface eth2 safe vpn
+       iface eth2 dmz unsafe safe untrusted vpn sgo colobdry
        iface eth3 untrusted vpn default
        iface eth3 untrusted vpn default
+       iface ppp0 default
        iface t6-he default
        iface vpn-precision colobdry vpn sgo
        iface vpn-chiark sgo
        iface t6-he default
        iface vpn-precision colobdry vpn sgo
        iface vpn-chiark sgo
@@ -88,16 +164,15 @@ defhost jem
        iface eth1 dmz unsafe
 defhost artist
        hosttype router
        iface eth1 dmz unsafe
 defhost artist
        hosttype router
-       iface eth0 dmz unsafe
-       iface eth1 dmz unsafe
+       iface eth0 dmz unsafe untrusted
+       iface eth1 dmz unsafe untrusted
        iface eth3 untrusted
 defhost vampire
        hosttype router
        iface eth3 untrusted
 defhost vampire
        hosttype router
-       iface eth0.0 dmz unsafe untrusted safe vpn sgo colobdry
-       iface eth0.1 dmz unsafe untrusted safe vpn sgo colobdry
-       iface eth0.2 safe
-       iface eth0.3 untrusted
-       iface dns0 iodine
+       iface eth0.4 dmz unsafe untrusted safe vpn sgo colobdry
+       iface eth0.5 dmz unsafe untrusted safe vpn sgo colobdry
+       iface eth0.6 dmz unsafe safe untrusted vpn sgo colobdry
+       iface eth0.7 untrusted
        iface vpn-precision colobdry vpn sgo
        iface vpn-chiark sgo
        iface vpn-+ vpn
        iface vpn-precision colobdry vpn sgo
        iface vpn-chiark sgo
        iface vpn-+ vpn
@@ -117,10 +192,13 @@ defnet colo trusted
        addr 172.29.199.176/28 2001:ba8:1d9:2::/64
        forwards colohub
 defnet colohub virtual
        addr 172.29.199.176/28 2001:ba8:1d9:2::/64
        forwards colohub
 defnet colohub virtual
-       forwards colobdry jump colo
+       forwards colobdry jump colo iodine
 defnet colobdry virtual
        forwards colohub hub
        noxit jump
 defnet colobdry virtual
        forwards colohub hub
        noxit jump
+defnet iodine untrusted
+       addr 172.29.198.128/28
+       forwards colohub
 
 ## Colocated hosts.
 defhost fender
 
 ## Colocated hosts.
 defhost fender
@@ -128,8 +206,8 @@ defhost fender
        iface br-colo jump colo
 defhost precision
        hosttype router
        iface br-colo jump colo
 defhost precision
        hosttype router
-       iface eth0 jump colo sgo
-       iface eth1 jump colo sgo
+       iface eth0 jump colo vpn sgo
+       iface eth1 jump colo vpn sgo
        iface vpn-radius housebdry vpn sgo
        iface vpn-chiark sgo
        iface vpn-+ vpn
        iface vpn-radius housebdry vpn sgo
        iface vpn-chiark sgo
        iface vpn-+ vpn
@@ -140,8 +218,11 @@ defhost stratocaster
        iface eth0 jump colo
        iface eth1 jump colo
 defhost jazz
        iface eth0 jump colo
        iface eth1 jump colo
 defhost jazz
-       iface eth0 jump colo
-       iface eth1 jump colo
+       hosttype router
+       iface eth0 jump colo vpn
+       iface eth1 jump colo vpn
+       iface dns0 iodine
+       iface vpn-+ vpn
 
 ## Other networks.
 defnet hub virtual
 
 ## Other networks.
 defnet hub virtual
@@ -200,17 +281,10 @@ case $forward in
            -m state --state ESTABLISHED
 
     ## Allow SSH from safe/noloop to untrusted networks.
            -m state --state ESTABLISHED
 
     ## Allow SSH from safe/noloop to untrusted networks.
-    run iptables -A fwd-spec-nofrag -j ACCEPT \
-           -p tcp --destination-port $port_ssh \
-           -m mark --mark $to_untrusted/$MASK_TO
-    run iptables -A fwd-spec-nofrag -j ACCEPT \
-           -p tcp --source-port $port_ssh \
-           -m mark --mark $from_untrusted/$MASK_FROM \
-           -m state --state ESTABLISHED
-    run ip6tables -A fwd-spec-nofrag -j ACCEPT \
+    run ip46tables -A fwd-spec-nofrag -j ACCEPT \
            -p tcp --destination-port $port_ssh \
            -m mark --mark $to_untrusted/$MASK_TO
            -p tcp --destination-port $port_ssh \
            -m mark --mark $to_untrusted/$MASK_TO
-    run ip6tables -A fwd-spec-nofrag -j ACCEPT \
+    run ip46tables -A fwd-spec-nofrag -j ACCEPT \
            -p tcp --source-port $port_ssh \
            -m mark --mark $from_untrusted/$MASK_FROM \
            -m state --state ESTABLISHED
            -p tcp --source-port $port_ssh \
            -m mark --mark $from_untrusted/$MASK_FROM \
            -m state --state ESTABLISHED
Firewall scripts for distorted.org.uk.