Проектирование

Скрипт и сервис будет называться iptables. Я хочу от него следующих вещей:

• Автозапуск. Ну, это подразумевается.
• Возможность сохранения текущих правил iptables, чтобы в дальнейшем они подгружались по умолчанию. Значит, нужна опция save.
• Возможность приостановки iptables. То есть, чтобы я мог остановить (сбросить) iptables, сохранив текущие правила, но не меняя правил по умолчанию. То есть, pause.
• Сохранять счётчики пакетов — не надо. Для служебных целей будет достаточно того что есть, а для более подробной информации можно установить ulogd.

Считаю, это — необходимый минимум.

Для хранения служебных файлов сервиса будем использовать каталог /etc/iptables/. В нём будут находиться следующие файлы:

iptables.save - правила по умолчанию. В штатном режиме работы правила будут загружаться отсюда.
iptables.pause - правила, выгруженные при постановке iptables на паузу. В штатном режиме работы этот файл не существует. Если файл существует, то при старте службы загрузка идёт отсюда, после чего файл удаляется.

Теперь разберёмся с опциями командной строки нашего скрипта и опишем, что они будут делать.

Реализация

Пишем скрипт, называем его iptables, делаем исполняемым и размещаем в /etc/init.d/

/etc/init.d/iptables

#! /bin/sh

### BEGIN INIT INFO
# Provides:		iptables
# Required-Start:	$syslog $network
# Required-Stop:	
# Default-Start:	2 3 4 5
# Default-Stop:		0 1 6
# Short-Description:	iptables
# Description:		this script is for configuring linux firewall (netfilter)
#  			with help of command-line utility called iptables
### END INIT INFO

# Делаем опись используемых бинарников
ipt=/sbin/iptables
ipt_save=/sbin/iptables-save
ipt_restore=/sbin/iptables-restore

# Задаём путь к служебному каталогу и имена служебных файлов
fcat=/etc/iptables
fsave=/etc/iptables/iptables.save
fpause=/etc/iptables/iptables.pause

[ -x ${ipt} ] || exit 0
[ -d ${fcat} ] || mkdir ${fcat}
[ -f ${fsave} ] || ${ipt_save} > ${fsave}

# Подключаем дополнительные функции.
# Они будут нужны для записи в системный журнал.
. /lib/lsb/init-functions

# ____ Задаём свои функции ____
# ...сохранение правил в произвольный файл.
do_save() {
	log_daemon_msg "Saving firewall rules to file \"$1\"" "iptables"
	${ipt_save} > $1
	log_end_msg 0
}

# ...загрузка правил из произвольного файла
do_load() {
	log_daemon_msg "Loading firewall rules from file \"$1\"" "iptables"
	cat $1 | ${ipt_restore}
	log_end_msg 0
}

# ...сброс всех правил и счётчиков
do_clear() {
	log_daemon_msg "Stopping linux firewall" "iptables"

	for table in filter nat mangle
	do
	$ipt -t $table -F
	$ipt -t $table -X
	$ipt -t $table -Z
	done

	$ipt -P FORWARD ACCEPT
	$ipt -P INPUT ACCEPT
	$ipt -P OUTPUT ACCEPT

	log_end_msg 0
}

case "$1" in
  start)
	log_daemon_msg "Starting linux firewall" "iptables"

	if [ -f ${fpause} ]; then
		do_load ${fpause}
		rm ${fpause}
	else
		do_load ${fsave}
	fi

	log_end_msg $?
	;;
  stop)
	[ -f ${fpause} ] && rm ${fpause}
	do_clear
	;;

  restart)
	log_daemon_msg "Restarting iptables" "iptables"
	[ -f ${fpause} ] && rm ${fpause}
	do_load ${fsave}
	;;

  pause)
	do_save ${fpause}
	do_clear
	;;
  save)
	do_save ${fsave}
	;;
  *)
	echo "Usage: /etc/init.d/iptables {start|stop|restart|pause|save}"
	exit 1
esac

exit 0

Прописываем сервис в каталогах уровней запуска.

update-rc.d iptables defaults

Это делается однократно; при любом изменении скрипта (кроме блока INIT INFO) перерегистрировать сервис не нужно.

• Как создать свою службу в Linux