Aperfeiçoando o firewall

Amigos,

Gostaria de aperfeiçoar meu firewall. O q eu poderia acrescentar nele para ficar mais seguro?? Nele só preciso usar SMTP/POP3, ssh e ftp. Desde já agradeço as sugestões!!! <IMG SRC="images/forum/icons/icon_smile.gif">

# Regras do Iptables.
iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
iptables -A FORWARD -i eth0 -j ACCEPT

# Essa regra estabiliza a conexão com a internet.
iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT

# Essa regra redireciona a porta 80 requisitada pelos clients para a porta 3128.
iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 80 -j REDIRECT --to-port 3128
iptables -t nat -A PREROUTING -i eth0 -p udp --dport 80 -j REDIRECT --to-port 3128
iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 8080 -j REDIRECT --to-port 3128
iptables -t nat -A PREROUTING -i eth0 -p udp --dport 8080 -j REDIRECT --to-port 3128

# Essa regra libera as portas POP3 e SMTP.
iptables -A INPUT -p tcp --dport 25 -j ACCEPT
iptables -A INPUT -p tcp --dport 110 -j ACCEPT

cara
eu recomendo que vc primeiro bare todas as portas
depois abra aquelas que vc precisa, ja que vc nao precisa de regras complexas

Companheiro espero ter lhe ajudado .
Desculpe pelo tamanho da crianca .

Como criar um firewall simples e compartilhar a conexão usando o IPtables

Todo administrador de redes aprende logo que uma das coisas mais importantes para qualquer rede é um bom firewall. Embora existam muitos mitos em torno disto, os firewall não fazem milagres, apenas adicionam uma camada extra de proteção, escondendo as vulnerabilidades das máquinas. Você pode ter um servidor IIS ativo com todas as vulnerabilidades possíveis dentro da sua rede, mas ninguém poderá fazer nada se não conseguir se conectar a ele. Este é o papel do firewall, limitar e filtrar os acessos aos servidores e estações de trabalho da sua rede.

Existem vários tipos de firewall, de todos os preços. O tipo mais simples e ao mesmo tempo um dos mais eficazes para PCs domésticos são os firewalls de bloqueio, onde você simplesmente fecha todas as portas do micro (ou deixa abertas apenas as portas de que você realmente precisa). Se ninguém consegue se conectar a seu PC, 90% das brechas de segurança são anuladas.

Outro ponto comum é a necessidade de compartilhar a conexão com a Web. Nos meus artigos sobre o Coyote mostrei como usar um 486 para esta tarefa, desta vez vamos ver como é fácil fazer o mesmo com qualquer distribuição Linux. Isto permite que você use o seu próprio PC, sem precisar montar e manter outro micro só para isso, além de resolver as limitações do Coyote com modems PCI e placas de rede Wireless.

Isso pode ser feito facilmente através do Iptables. A receita funciona em qualquer distribuição que utilize o Kernel 2.4, basicamente qualquer coisa que você ainda possa querer usar hoje em dia.

Existem vários programas gráficos para configuração de firewalls, como por exemplo o GuardDog e o Shorewall (usando no Red Hat e Mandrake). Estes programas também trabalham com o Iptables, eles servem apenas para facilitar a configuração, criando as regras a partir das escolhas feitas pelo usuário.

A configuração do Iptables é feita diretamente via terminal, basta você ir inserindo as regras uma a uma. As regras se perdem ao reiniciar o micro por isso depois de testar tudo vamos criar um script para que elas sejam recriadas automaticamente a cada reboot.

O Iptables é tão versátil que pode ser usado para praticamente tudo relacionado à inspeção, encaminhamento e até mesmo alteração de pacotes. Se ele não fizer algo é possível criar um módulo que o faça. Já que as possibilidades são infinitas mais seu tempo não, vou ficar em algumas regras simples que resolvem a maior parte dos problemas do dia a dia. A partir daí você pode ir se aperfeiçoando e desenvolvendo soluções mais sofisticadas.

Antes de mais nada você precisa verificar se o pacote do iptables está instalado. Se você estiver no Mandrake basta dar um "urpmi iptables". Se você estiver no Debian, Kurumin ou Conectiva, um "apt-get install iptables" resolve.

Para garantir que o Iptables está mesmo carregado, dê também um:

modprobe iptables

Vamos então à criação das regras que determinam o que entra e o que não entra na máquina. Se o seu micro está ligado apenas à internet, sem uma rede local, então são necessárias apenas duas regras para resolver o problema. Abra um terminal, logue-se como root e digite o comando:

iptables -A INPUT -p tcp --syn -j DROP
iptables -A INPUT -i ppp0 -p udp --dport 0:30000 -j DROP

Isso fará com que o micro passe a ignorar conexões vindas em qualquer porta TCP, sem enviar sequer uma confirmação de que o pacote foi recebido. Você continuará conseguindo acessar a internet normalmente, mas ninguém conseguirá se conectar diretamente ao seu PC; um servidor Web ou SSH que você esquecesse de desativar passariam despercebidos. Apenas as conexões iniciadas por você são aceitas, o que permite que alguns programas de compartilhamento como o gtkgnutella e o Kazza continuem funcionando normalmente. A segunda regra é opcional (dica do Fabricio Carvalho), ela bloqueia também parte das portas UDP, adicionando uma camada extra se segurança.

O efeito colateral é que alguns programas que abrem servidores podem deixar de funcionar. Você não conseguirá mais receber arquivos pelo ICQ por exemplo, como se estivesse acessando através de uma conexão compartilhada via NAT.

O interessante é que você pode desativar o firewall a qualquer momento, para isso basta um único comando: iptables -F

Isso elimina todas as regras do Iptables, fazendo com que seu micro volte a aceitar todas as conexões. Você pode usa-la para permitir que alguém se conecte rapidamente via ssh na sua maquina por exemplo e depois fechar tudo novamente reinserindo as regras anteriores.

Se você tiver uma rede local e quiser que os micros da rede interna seja capazes de se conectar normalmente, mas mantendo o bloqueio a tudo que vem da internet, basta dar um "iptables -F" e começar de novo, desta vez adicionando primeiro a regra que permite os pacotes vindos da rede local:

iptables -A INPUT -p tcp --syn -s 192.168.0.0/255.255.255.0 -j ACCEPT

Em seguida vem os comandos anteriores:
iptables -A INPUT -p tcp --syn -j DROP

Altere o "192.168.0.0/255.255.255.0" para a faixa de endereços e máscara de sub-rede que estiver utilizando na sua rede. Este exemplo serve para redes que utilizam a faixa de 192.168.0.1 até 192.168.0.254.

O Iptables processa os comandos em seqüência. Então todos os pacotes passam pela primeira instrução antes de ir para a segunda. Quando um pacote vem de um dos endereços da rede local é imediatamente aceito, os demais vão para as duas últimas linhas e acabam recusados. É uma simples questão de sim ou não. A primeira linha diz sim para os pacotes da rede local enquanto as duas ultimas dizem não para todos os demais.

Imagine agora que você queira permitir ao mesmo tempo pacotes vindos da rede local e uma certa porta vinda da Internet, como por exemplo a porta 22 do SSH. Neste caso você adicionaria mais uma regra, mantendo as regras anteriores:

iptables -A INPUT -p tcp --destination-port 22 -j ACCEPT

iptables -A INPUT -p tcp --syn -s 192.168.0.0/255.255.255.0 -j ACCEPT
iptables -A INPUT -p tcp --syn -j DROP
iptables -A INPUT -p udp -j DROP

Agora tudo o que vem na porta 22 (tanto da Internet quanto da rede local) é aceito, tudo o que vem da rede local é aceito e todo o resto é rejeitado. Você pode adicionar mais linhas para abrir outras portas. Se você quisesse abrir também as portas 1021 e 1080, a lista ficaria assim:

iptables -A INPUT -p tcp --destination-port 22 -j ACCEPT
iptables -A INPUT -p tcp --destination-port 1021 -j ACCEPT
iptables -A INPUT -p tcp --destination-port 1080 -j ACCEPT

iptables -A INPUT -p tcp --syn -s 192.168.0.0/255.255.255.0 -j ACCEPT
iptables -A INPUT -p tcp --syn -j DROP

Isso permite que você mantenha disponíveis apenas os servidores que você realmente quer disponibilizar e nos momentos que quiser. A qualquer tempo você pode dar um iptables -F e readicionar apenas as regras para fechar tudo.


Vamos então à segunda receita, para compartilhar a conexão. Ela é ainda mais simples e também permite ativar ou desativar o compartilhamento a qualquer momento.

Em primeiro lugar você deve configurar as suas placas de rede e modem e verificar se tanto a conexão com a Internet quando a conexão com os micros da rede local estão funcionando normalmente. O compartilhamento da conexão em sí pode ser feito com apenas três comandos:

Para compartilhar a conexão do modem com a rede local:

modprobe iptable_nat
iptables -t nat -A POSTROUTING -o ppp0 -j MASQUERADE
echo 1 > /proc/sys/net/ipv4/ip_forward

Para compartilhar uma conexão via ADSL ou cabo instalada na eth0:

modprobe iptable_nat
iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
echo 1 > /proc/sys/net/ipv4/ip_forward

Para desativar o compartilhamento, você deve usar o comando : iptables -t nat -F.

Isso mesmo, é só isso... icon_smile.gif O compartilhamento e ativado ou desativado imediatamente, sem que seja necessário reiniciar a conexão. Rápido, prático e confiável.

As três linhas respectivamente ativam o módulo nat do iptables, responsável pela tradução de endereços, avisam para o iptables que ele deve direcionar todas as conexões recebidas para a interface ppp0 (o modem) ou eth0 (a primeira placa de rede) e devolver as respostas para os clientes e confirmam a ativação no arquivo de configuração do TCP/IP.

Não faz mal se você acessa via modem e não fica permanentemente conectado. A regra mantém o compartilhamento ativo mesmo que você desconecte e reconecte várias vezes.

Se os clientes da rede já estiverem configurados para acessar a web através do endereço IP usado pelo servidor (192.168.0.1 se você quiser substituir uma máquina Windows compartilhando através do ICS) você já deve ser capaz de acessar a web automaticamente nos demais PCs da rede.

Uma observação é que estas regras não incluem um servidor DHCP, você deve configurar os clientes com endereço IP fixo ou então ativar o serviço DHCPD na sua distribuição. No Mandrake ou Red Hat basta ativar o serviço no painel de controle e o DHCP já irá funcionar automaticamente.

A configuração nos clientes fica: Endereço IP: Qualquer endereço dentro da faixa de endereços usada pelo servidor. Ex: 192.168.0.3 Servidor DNS: Os endereços dos servidores DNS do seu provedor. Ex: 200.177.250.10 Gateway Padrão: O endereço do servidor. Ex: 192.168.0.1 Domínio: O domínio do seu provedor. Ex: terra.com.br

As linhas de compartilhamento da conexão não conflitam com as regras de firewall que vimos anteriormente, você deve apenas ter o cuidado de colocá-las no inicio da seqüência. Neste caso nosso script completo ficaria assim:

# Carrega os módulos
modprobe iptables
modprobe iptable_nat

# Compartilha a conexão
modprobe iptable_nat
iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
echo 1 > /proc/sys/net/ipv4/ip_forward

# Abre algumas portas (opcional)

iptables -A INPUT -p tcp --destination-port 22 -j ACCEPT
iptables -A INPUT -p tcp --destination-port 1021 -j ACCEPT
iptables -A INPUT -p tcp --destination-port 1080 -j ACCEPT

# Abre para a rede local

iptables -A INPUT -p tcp --syn -s 192.168.0.0/255.255.255.0 -j ACCEPT

# Fecha o resto
iptables -A INPUT -p tcp --syn -j DROP

Se você quiser que o PC também não responda a pings, adicione a linha:

echo "1" > /proc/sys/net/ipv4/icmp_echo_ignore_all

Mais uma linha interessante de se adicionar, que protege contra pacotes danificados (usados em ataques DoS por exemplo) é:

iptables -A FORWARD -m unclean -j DROP
(esta linha deve ser adicionada antes das demais)

Agora já temos 10 comandos, fora os para abrir portas específicas. Não seria muito prático ficar digitando tudo isso cada vez que precisar reiniciar o micro. Para automatizar isso, basta colar todos os comandos dentro de um arquivo de texto. Você pode salvá-lo como por exemplo: /usr/local/bin/meu_firewall

Em seguida, dê permissão de execução para o arquivo (chmod +x /usr/local/bin/meu_firewall) e você terá um shell script que pode ser chamado a qualquer momento. Basta digitar: meu_firewall

Para tornar a inicialização realmente automática, você precisa apenas colocar o comando num dos arquivos de inicialização do sistema. Abra o arquivo /etc/rc.d/rc.local e adicione a linha:

/usr/local/bin/meu_firewall

No Debian e Kurumin você pode usar o arquivo /etc/init.d/bootmisc.sh

As regras que vimos acima funcionam como um firewall de bloqueio. Ou seja, o servidor não deixa que ninguém acesse os compartilhamentos de arquivos ou conectem o backorifice instalado na máquina com o Windows 98, mas não impedem que os usuários baixem e-mails com vírus ou que acessem uma página web que explore alguma das vulnerabilidades do IE por exemplo. Ao usar clientes Windows o ideal é complementar o firewall com um bom antivírus.

Vamos agora a um último passo que é fowardar certas portas para os hosts da rede interna. Isso permite que você rode um servidor de FTP ou crie um servidor de Counter Strike por exemplo em qualquer um dos micros da rede e não apenas no servidor que está diretamente conectado à internet. O servidor simplesmente direciona todas as requisições recebidas na porta para o micro especificado, de forma transparente. Também aprendemos a fazer isso no Coyote, lembra? Mas ele utiliza o ipchains, uma versão antiga do firewall, por isso os comandos são diferentes.

O foward de portas também usa o Nat, por isso você também deve carregar o módulo caso não tenha feito anteriormente:

modprobe iptable_nat

Em seguida vem as regras para fazer o foward da porta. Neste caso estou direcionando a porta 22 (do SSH) na conexão com a internet (eth0) para o micro 192.168.0.2 da rede local:
iptables -t nat -A PREROUTING -i etho -p tcp --dport 22 -j DNAT --to-dest 192.168.0.2
iptables -A FORWARD -p tcp -i eth0 --dport 22 -d 192.168.0.2 -j ACCEPT

Basta alterar a regra, adicionando a porta e a máquina da rede interna para onde ele deve ser redirecionada. Se você acessa via modem, basta substituir o "eth0" em ambas as linhas por "ppp0". Esta regra pode ser usada em conjunto com as antreriores, mas deve ir sempre logo no início do arquivo, antes das regras para compartilhar a conexão e, claro, antes das regras para fechar tudo icon_smile.gif

Você pode repetir o comando várias vezes para direcionar varias portas diferentes para várias máquinas. Naturalmente uma mesma porta não pode ser fowardada duas vezes.

Também é possível fowardar ranges de portas. No Unreal Tournament por exemplo você precisa abrir as portas UDP 7777, 7778 e 7779 neste caso as regras seriam:

iptables -t nat -A PREROUTING -i eth0 -p udp --dport 7777:7779 -j DNAT --to-dest 192.168.0.2
iptables -A FORWARD -p udp -i eth0 --dport 7777:7779 -d 192.168.0.2 -j ACCEPT

No bittorrent, que usa as portas tcp de 6881 a 6889 (ele tenta uma a uma até achar uma disponível) a regra seria:

iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 6881:6889 -j DNAT --to-dest 192.168.0.2
iptables -A FORWARD -p tcp -i eth0 --dport 6881:6889 -d 192.168.0.2 -j ACCEPT

Neste link você encontra uma longa lista de portas usadas por vários aplicativos e jogos. Basta fowardá-las no servidor para que os clientes da rede interna possam utilizá-los normalmente. A limitação neste caso é que apenas um cliente pode usar cada porta de cada vez, mas em alguns casos o aplicativo é programado para escutar em várias portas simultâneamente (como no caso do bittorrent) e basta distribuir as portas usadas entre os clientes da rede.

http://www.practicallynetworked.com/..._port_list.htm

Evite abrir muitas portas no seu firewall, abra apenas as portas de que você realmente precisar e sempre termine o script com o iptables -A INPUT -p tcp --syn -j DROP para esconder todas as demais. Os famosos "buracos" no firewall surjem justamente de portas abertas que direcionam para programas ou máquinas vulneráveis. Você direciona a porta 1022 para um micro da rede interna com uma versão desatualizada do SSH, o invasor obtém acesso a ela e a partir aí tem uma base para lançar ataques contra outros micros da rede local, ataques muito mais efetivos diga-se de passagem, pois serão feitos de dentro, onde sua rede é vulnerável.

Honda,

Em primeiro lugar obrigado....
Em segundo lugar, esse artigo vc pegou no Linuxit??

Mas mesmo assim valeu....<IMG SRC="images/forum/icons/icon_wink.gif">

Nao companheiro .
Porque diz isso?

nao entendo porque disse que peguei na linuxit ?

Honda,

É pq eu li um parecido com esse alguns dias atrás lá....
Mas valeu....

nao,nao peguei na linuit, mas sim em um site que tem na empresa que trabalho .

corrigindo .

nao,nao peguei na linuxit, mas sim em um site que tem na empresa que trabalho .

Eu acho que e bem mais seguro assim
utilizando estas regras e depois liberando tudo

iptables -P INPUT DROP
iptables -P FORWAR DROP

voce vai bloquear tudo e so vai liberar o que voce vai utilizar como SMTP,POP,FTP bloqueia todo o resto inclusive Ping

Mais fora isto eu acredito que tem como melhorar ainda mais a segurança e tambem gostaria de discutir isto com alquem.

se quise um script para servir de base da um toque que eu te envio

A-Marcio,

Agradeço pela ajuda, e com certeza gostaria sim de um modelo de script. Se vc pudesse me mandar isso ainda hj ficaria muito grato, pois amanhã (sábado) irei fazer algumas atualizações no meu servidor e já aproveitaria pra fazer isso tb.... <IMG SRC="images/forum/icons/icon_wink.gif">

Inté +...
Mauricio

A Base que utilizei foi esta. Mais acredito que deve ter muito o que melhora caso voce conseguir alguma coisa me avisa

OBS: Eth1 eo IP 200.x.x.x Placa de Internet ETH 192.x.x.x Placa de Rede

# Escript de Firewll
# Desenvolvido por: A Marcio
# E-mail:[email protected]
# ICQ: 168432794
#
# Apaga qualquer outra regra que esteja no IPTABLES
iptables -F
#
# ===> Nega a entrada de Todos os Pacotes no Servidor e Aceita a Saida de Todos os Pacotes
iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT ACCEPT
#
iptables -A INPUT -p tcp -s 192.168.0.0/24 --dport 53 -j ACCEPT
iptables -A INPUT -p udp -s 192.168.0.0/24 --dport 53 -j ACCEPT
iptables -A INPUT -p tcp -s 192.168.0.0/24 --dport 80 -j ACCEPT
#
# ===> Permite o Redirecionamento para a Internet das portas abaixo
iptables -A FORWARD -p tcp -s 192.168.0.0/24 --dport 25 -j ACCEPT
iptables -A FORWARD -p tcp -s 192.168.0.0/24 --dport 110 -j ACCEPT
iptables -A FORWARD -p tcp -s 192.168.0.0/24 --dport 80 -j ACCEPT
iptables -A FORWARD -p tcp -s 192.168.0.0/24 --dport 443 -j ACCEPT
#
# ===> Cria uma referencia entre a regra de bloqueio com a regra que libera o acesso a Internet
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT
#

A-Marcio,

O refiz o meu firewall, mas infelizmente algo saiu errado pois ñ consigo fazer com q nada saia. O q pode ser q eu esqueci?? Veja como ficou ele agora:

# Script de firewall Corporativo da Religiao de Deus.
# Desenvolvido por Mauricio Bertolin.
# E-mail: [email protected]

# Regras para a internet.

# Apagar qualquer regra existente.
iptables -F

# Nega a entrada de todos os pacotes no Servidor e aceita a saida de todos os pacotes.
iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT ACCEPT

# Compartilhando o a internet com a rede interna.
iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE

# Essa regra estabiliza a conexão com a internet.
iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT

# Essa regra redireciona a porta 80 requisitada pelos clients para a porta 3128.
iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 80 -j REDIRECT --to-port 3128
iptables -t nat -A PREROUTING -i eth0 -p udp --dport 80 -j REDIRECT --to-port 3128

# Essa regra libera as portas POP3 e SMTP.
iptables -A INPUT -p tcp --dport 25 -j ACCEPT
iptables -A INPUT -p tcp --dport 110 -j ACCEPT



# Configuracao do firewall contra ataques.

# Protecao contra Syn-floods.
iptables -A FORWARD -p tcp --syn -m limit --limit 1/s -j ACCEPT

# Port Scanners Ocultos.
iptables -A FORWARD -p tcp --tcp-flags SYN,ACK,FIN,RST RST -m limit --limit 1/s -j ACCEPT

# Ping da morte.
iptables -A FORWARD -p icmp --icmp-type echo-request -m limit --limit 1/s -j ACCEPT

# Protecao contra IP Spoofing.
iptables -A INPUT -s 172.168.0.0/24 -i eth0 -j DROP

# Protecao contra pacotes danificados.
iptables -A FORWARD -m unclean -j DROP




# Log a portas proibidas e alguns backdoors

# Porta FTP
iptables -A INPUT -p tcp --dport 21 -j LOG --log-prefix "Serviço: FTP"

# Porta Wincrash
iptables -A INPUT -p tcp --dport 5042 -j LOG --log-prefix "Serviço: Wincrash"

# Portas BackOrifice
iptables -A INPUT -p tcp --dport 12345 -j LOG --log-prefix "Serviço: BackOrifice"


Desde já agradeço a atenção...

Mauricio <IMG SRC="images/forum/icons/icon_wink.gif">

Eu acho que tem algumas regras fora das posiçoes.
Suas regras contra ataques seria mais utili se estivesse nas primeiras linhas.
voce deu um Drop no INPUT e no FORWARD entao para sua rede funcionar voce vai ter que liberar o INPUT eo FORWARD

Da uma olhada nas alteraçoes que foi feita abaixo. com isto deve funcionar

# Regras para a internet.

# Nega a entrada de todos os pacotes no Servidor e aceita a saida de todos os pacotes.
iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT ACCEPT

# Compartilhando o a internet com a rede interna.

==> Esta regra vai transformar todos os IP da sua rede interna em um ip da internet (NAT)
iptables -t nat -A POSTROUTING -s 192.x.x.x/24(ip da lan) -o eth0 (Placa da Net) -j SNAT --to 200.x.x.x(IP da NET)
iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE

# Essa regra redireciona a porta 80 requisitada pelos clients para a porta 3128.
iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 80 -j REDIRECT --to-port 3128
iptables -t nat -A PREROUTING -i eth0 -p udp --dport 80 -j REDIRECT --to-port 3128

# Essa regra libera as portas POP3 e SMTP.
iptables -A INPUT -p tcp --dport 25 -j ACCEPT
iptables -A INPUT -p tcp --dport 110 -j ACCEPT

iptables -A FORWARD -p tcp --dport 25 -j ACCEPT
iptables -A FORWARD -p tcp --dport 100 -j ACCEPT

# Essa regra estabiliza a conexão com a internet.
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT


OBS: No meu ponto de vista voce aumentaria a segurança se ao liberar uma porta voce colocasse um IP ex
iptables -A INPUT -p tcp -s 192.x.x.x/24 --dport 100 -j ACCEPT
dai o seervidor so aceitaria a conexao na porta 110 do ip 192.x.x.x