debian/postinst

   1 #!/bin/sh
   2 # postinst script for bind9-cn
   3 #
   4 # see: dh_installdeb(1)
   5
   6 set -e
   7
   8 # summary of how this script can be called:
   9 #        * <postinst> `configure' <most-recently-configured-version>
  10 #        * <old-postinst> `abort-upgrade' <new version>
  11 #        * <conflictor's-postinst> `abort-remove' `in-favour' <package>
  12 #          <new-version>
  13 #        * <deconfigured's-postinst> `abort-deconfigure' `in-favour'
  14 #          <failed-install-package> <version> `removing'
  15 #          <conflicting-package> <version>
  16 # for details, see http://www.debian.org/doc/debian-policy/ or
  17 # the debian-policy package
  18 #
  19
  20 case "$1" in
  21     configure|reconfigure)
  22       # continue below
  23     ;;
  24
  25     *)
  26         exit 0
  27     ;;
  28 esac
  29
  30 # fix problem with permissions from the old package
  31 if dpkg --compare-versions "$2" lt "2:1.2.11-4"; then
  32     chown -f -Rh root:root /var/lib/iptables /etc/init.d/iptables \
  33                 /etc/default/iptables >/dev/null 2>&1 || true
  34 fi
  35
  36 # remove old iptables init script
  37 update-rc.d -f iptables remove >/dev/null 2>&1 || true
  38
  39 # check if old default file exists and import it
  40 if [ -e /etc/default/iptables ]; then
  41     mv /etc/default/iptables /etc/default/iptables-cn
  42 fi
  43
  44 # check to see if fail2ban is installed
  45 if dpkg -l fail2ban | grep -q '^.i'; then
  46     echo "CN: Detected Fail2Ban installation, will remove SSH bruteforce rules by default"
  47     iptables -D SSH_Brute_Force -m recent ! --rcheck --seconds 90 \
  48         --hitcount 3 --name SSH --rsource \
  49         -j RETURN >/dev/null 2>&1 || true
  50     iptables -D SSH_Brute_Force -p tcp -j REJECT \
  51         --reject-with icmp-port-unreachable >/dev/null 2>&1 || true
  52     iptables -D INPUT -p tcp -m tcp --dport 22 -m state \
  53         --state NEW -m recent --set --name SSH --rsource \
  54         -j SSH_Brute_Force >/dev/null 2>&1 || true
  55     iptables -X SSH_Brute_Force >/dev/null 2>&1 || true
  56
  57     echo "CN: Saving current Netfilter rules to /var/lib/iptables/active"
  58     iptables-save > /var/lib/iptables/active
  59 else
  60     # check if there is any default netfilter policy and install default SSH
  61     # REJECT recent if there is none..
  62     # also, save current set of rules into active and inactive configuration
  63     if [ ! -e /var/lib/iptables/active ]; then
  64         if ! iptables-save | grep '^-' >/dev/null; then
  65             echo "CN: Netfilter rules empty: importing SSH bruteforce rules"
  66             /usr/share/doc/iptables-cn/examples/ssh-bruteforce \
  67                 1>/dev/null 2>&1 || true
  68         fi
  69         echo "CN: Saving current Netfilter rules to /var/lib/iptables/active"
  70         iptables-save > /var/lib/iptables/active
  71     fi
  72 fi
  73
  74 # create inactive
  75 if [ ! -e /var/lib/iptables/inactive ]; then
  76     touch /var/lib/iptables/inactive
  77 fi
  78
  79 # dh_installdeb will replace this with shell code automatically
  80 # generated by other debhelper scripts.
  81
  82 #DEBHELPER#
  83
  84 exit 0