# Generated by iptables-save v1.8.11 (nf_tables) on Mon Aug 10 19:25:48 2026
*filter
:INPUT DROP [20:1033]
:FORWARD DROP [0:0]
:OUTPUT DROP [1:40]
:BLACK - [0:0]
:CHECK_GRE - [0:0]
:syn-flood - [0:0]
-A INPUT -p icmp -m hashlimit --hashlimit-above 1/sec --hashlimit-burst 1 --hashlimit-mode srcip --hashlimit-name ICMP -j DROP
-A INPUT -i eth0 -p tcp -m tcp --tcp-flags FIN,SYN,RST,ACK SYN -j syn-flood
-A INPUT -i eth0 -p tcp -m tcp ! --tcp-flags FIN,SYN,RST,ACK SYN -m state --state NEW -j DROP
-A INPUT -f -j DROP
-A INPUT -p tcp -m tcp --tcp-flags FIN,SYN,RST,PSH,ACK,URG FIN,SYN,RST,PSH,ACK,URG -j DROP
-A INPUT -s 10.0.0.0/8 -i eth0 -j DROP
-A INPUT -s 172.16.0.0/12 -i eth0 -j DROP
-A INPUT -s 224.0.0.0/4 -i eth0 -j DROP
-A INPUT -s 240.0.0.0/5 -i eth0 -j DROP
-A INPUT -s 127.0.0.0/8 -i eth0 -j DROP
-A INPUT -i lo -j ACCEPT
-A INPUT -p tcp -m tcp --dport 47 -m state --state NEW -j CHECK_GRE
-A INPUT -p udp -m udp --dport 47 -m state --state NEW -j CHECK_GRE
-A INPUT -d 147.79.115.130/32 -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -d 147.79.115.130/32 -p icmp -m limit --limit 5/sec --limit-burst 4 -j ACCEPT
-A INPUT -d 10.175.0.254/32 -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -d 10.175.0.254/32 -p icmp -m limit --limit 5/sec --limit-burst 4 -j ACCEPT
-A INPUT -d 10.0.3.1/32 -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -d 10.0.3.1/32 -p icmp -m limit --limit 5/sec --limit-burst 4 -j ACCEPT
-A INPUT -s 83.159.31.116/32 -i eth0 -p tcp -m tcp --dport 22 -j ACCEPT
-A INPUT -s 83.159.31.116/32 -i incusbr0 -p tcp -m tcp --dport 22 -j ACCEPT
-A INPUT -s 83.159.31.116/32 -i lxcbr0 -p tcp -m tcp --dport 22 -j ACCEPT
-A INPUT -s 158.69.126.137/32 -i eth0 -p tcp -m tcp --dport 22 -j ACCEPT
-A INPUT -s 158.69.126.137/32 -i incusbr0 -p tcp -m tcp --dport 22 -j ACCEPT
-A INPUT -s 158.69.126.137/32 -i lxcbr0 -p tcp -m tcp --dport 22 -j ACCEPT
-A INPUT -s 172.16.5.137/32 -i eth0 -p tcp -m tcp --dport 22 -j ACCEPT
-A INPUT -s 172.16.5.137/32 -i incusbr0 -p tcp -m tcp --dport 22 -j ACCEPT
-A INPUT -s 172.16.5.137/32 -i lxcbr0 -p tcp -m tcp --dport 22 -j ACCEPT
-A INPUT -s 172.16.5.253/32 -i eth0 -p tcp -m tcp --dport 22 -j ACCEPT
-A INPUT -s 172.16.5.253/32 -i incusbr0 -p tcp -m tcp --dport 22 -j ACCEPT
-A INPUT -s 172.16.5.253/32 -i lxcbr0 -p tcp -m tcp --dport 22 -j ACCEPT
-A INPUT -s 172.16.5.143/32 -i eth0 -p tcp -m tcp --dport 22 -j ACCEPT
-A INPUT -s 172.16.5.143/32 -i incusbr0 -p tcp -m tcp --dport 22 -j ACCEPT
-A INPUT -s 172.16.5.143/32 -i lxcbr0 -p tcp -m tcp --dport 22 -j ACCEPT
-A INPUT -s 172.16.10.0/24 -i eth0 -p tcp -m tcp --dport 22 -j ACCEPT
-A INPUT -s 172.16.10.0/24 -i incusbr0 -p tcp -m tcp --dport 22 -j ACCEPT
-A INPUT -s 172.16.10.0/24 -i lxcbr0 -p tcp -m tcp --dport 22 -j ACCEPT
-A INPUT -s 10.101.0.1/32 -i eth0 -p tcp -m tcp --dport 22 -j ACCEPT
-A INPUT -s 10.101.0.1/32 -i incusbr0 -p tcp -m tcp --dport 22 -j ACCEPT
-A INPUT -s 10.101.0.1/32 -i lxcbr0 -p tcp -m tcp --dport 22 -j ACCEPT
-A INPUT -i eth0 -p tcp -m tcp --dport 22 -m state --state NEW -m recent --set --name SSH --mask 255.255.255.255 --rsource
-A INPUT -i eth0 -p tcp -m tcp --dport 22 -m recent --update --seconds 60 --hitcount 3 --rttl --name SSH --mask 255.255.255.255 --rsource -j DROP
-A INPUT -i eth0 -p tcp -m tcp --dport 22 -j ACCEPT
-A INPUT -i incusbr0 -p tcp -m tcp --dport 22 -m state --state NEW -m recent --set --name SSH --mask 255.255.255.255 --rsource
-A INPUT -i incusbr0 -p tcp -m tcp --dport 22 -m recent --update --seconds 60 --hitcount 3 --rttl --name SSH --mask 255.255.255.255 --rsource -j DROP
-A INPUT -i incusbr0 -p tcp -m tcp --dport 22 -j ACCEPT
-A INPUT -i lxcbr0 -p tcp -m tcp --dport 22 -m state --state NEW -m recent --set --name SSH --mask 255.255.255.255 --rsource
-A INPUT -i lxcbr0 -p tcp -m tcp --dport 22 -m recent --update --seconds 60 --hitcount 3 --rttl --name SSH --mask 255.255.255.255 --rsource -j DROP
-A INPUT -i lxcbr0 -p tcp -m tcp --dport 22 -j ACCEPT
-A INPUT -s 83.159.31.116/32 -p tcp -m tcp --dport 873 -j ACCEPT
-A INPUT -s 83.159.31.116/32 -p udp -m udp --dport 873 -j ACCEPT
-A INPUT -s 158.69.126.137/32 -p tcp -m tcp --dport 873 -j ACCEPT
-A INPUT -s 158.69.126.137/32 -p udp -m udp --dport 873 -j ACCEPT
-A INPUT -s 172.16.5.137/32 -p tcp -m tcp --dport 873 -j ACCEPT
-A INPUT -s 172.16.5.137/32 -p udp -m udp --dport 873 -j ACCEPT
-A INPUT -s 172.16.5.253/32 -p tcp -m tcp --dport 873 -j ACCEPT
-A INPUT -s 172.16.5.253/32 -p udp -m udp --dport 873 -j ACCEPT
-A INPUT -s 172.16.5.143/32 -p tcp -m tcp --dport 873 -j ACCEPT
-A INPUT -s 172.16.5.143/32 -p udp -m udp --dport 873 -j ACCEPT
-A INPUT -s 172.16.10.0/24 -p tcp -m tcp --dport 873 -j ACCEPT
-A INPUT -s 172.16.10.0/24 -p udp -m udp --dport 873 -j ACCEPT
-A INPUT -s 10.101.0.1/32 -p tcp -m tcp --dport 873 -j ACCEPT
-A INPUT -s 10.101.0.1/32 -p udp -m udp --dport 873 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 514 -j ACCEPT
-A INPUT -p udp -m udp --dport 123 -j ACCEPT
-A INPUT -p udp -m udp --dport 161 -j ACCEPT
-A INPUT -p udp -m udp --dport 514 -j ACCEPT
-A INPUT -p udp -m udp --dport 67 -j ACCEPT
-A INPUT -i eth0 -p udp -m udp --dport 500 -j ACCEPT
-A INPUT -i eth0 -p udp -m udp --dport 4500 -j ACCEPT
-A INPUT -i eth0 -p esp -m esp -j ACCEPT
-A INPUT -i eth0 -p tcp -m tcp --dport 50 -j ACCEPT
-A INPUT -i eth0 -p tcp -m tcp --dport 51 -j ACCEPT
-A INPUT -s 104.113.170.241/32 -i eth0 -p tcp -m tcp --dport 53 -j ACCEPT
-A INPUT -s 104.113.170.241/32 -i eth0 -p udp -m udp --dport 53 -j ACCEPT
-A INPUT -s 151.231.39.39/32 -i eth0 -p tcp -m tcp --dport 53 -j ACCEPT
-A INPUT -s 151.231.39.39/32 -i eth0 -p udp -m udp --dport 53 -j ACCEPT
-A INPUT -s 121.201.29.121/32 -i eth0 -p tcp -m tcp --dport 53 -j ACCEPT
-A INPUT -s 121.201.29.121/32 -i eth0 -p udp -m udp --dport 53 -j ACCEPT
-A INPUT -s 183.39.223.233/32 -i eth0 -p tcp -m tcp --dport 53 -j ACCEPT
-A INPUT -s 183.39.223.233/32 -i eth0 -p udp -m udp --dport 53 -j ACCEPT
-A INPUT -s 183.15.177.153/32 -i eth0 -p tcp -m tcp --dport 53 -j ACCEPT
-A INPUT -s 183.15.177.153/32 -i eth0 -p udp -m udp --dport 53 -j ACCEPT
-A INPUT -s 216.105.171.68/32 -i eth0 -p tcp -m tcp --dport 53 -j ACCEPT
-A INPUT -s 216.105.171.68/32 -i eth0 -p udp -m udp --dport 53 -j ACCEPT
-A INPUT -s 173.254.28.48/32 -i eth0 -p tcp -m tcp --dport 53 -j ACCEPT
-A INPUT -s 173.254.28.48/32 -i eth0 -p udp -m udp --dport 53 -j ACCEPT
-A INPUT -s 162.212.252.227/32 -i eth0 -p tcp -m tcp --dport 53 -j ACCEPT
-A INPUT -s 162.212.252.227/32 -i eth0 -p udp -m udp --dport 53 -j ACCEPT
-A INPUT -s 222.70.229.251/32 -i eth0 -p tcp -m tcp --dport 53 -j ACCEPT
-A INPUT -s 222.70.229.251/32 -i eth0 -p udp -m udp --dport 53 -j ACCEPT
-A INPUT -s 148.66.136.61/32 -i eth0 -p tcp -m tcp --dport 53 -j ACCEPT
-A INPUT -s 148.66.136.61/32 -i eth0 -p udp -m udp --dport 53 -j ACCEPT
-A INPUT -s 185.17.52.46/32 -i eth0 -p tcp -m tcp --dport 53 -j ACCEPT
-A INPUT -s 185.17.52.46/32 -i eth0 -p udp -m udp --dport 53 -j ACCEPT
-A INPUT -s 59.127.92.11/32 -i eth0 -p tcp -m tcp --dport 53 -j ACCEPT
-A INPUT -s 59.127.92.11/32 -i eth0 -p udp -m udp --dport 53 -j ACCEPT
-A INPUT -s 45.61.237.40/32 -i eth0 -p tcp -m tcp --dport 53 -j ACCEPT
-A INPUT -s 45.61.237.40/32 -i eth0 -p udp -m udp --dport 53 -j ACCEPT
-A INPUT -s 180.86.4.148/32 -i eth0 -p tcp -m tcp --dport 53 -j ACCEPT
-A INPUT -s 180.86.4.148/32 -i eth0 -p udp -m udp --dport 53 -j ACCEPT
-A INPUT -s 201.64.112.162/32 -i eth0 -p tcp -m tcp --dport 53 -j ACCEPT
-A INPUT -s 201.64.112.162/32 -i eth0 -p udp -m udp --dport 53 -j ACCEPT
-A INPUT -i eth0 -p udp -m udp --dport 53 -j ACCEPT
-A INPUT -i eth0 -p udp -m udp --dport 53 -m hashlimit --hashlimit-above 20/sec --hashlimit-burst 20 --hashlimit-mode srcip --hashlimit-name NAMED -j DROP
-A INPUT -i eth0 -p tcp -m tcp --dport 53 -m state --state NEW -m recent --set --name NAMED --mask 255.255.255.255 --rsource
-A INPUT -i eth0 -p tcp -m tcp --dport 53 -m recent --update --seconds 60 --hitcount 10 --rttl --name NAMED --mask 255.255.255.255 --rsource -j DROP
-A INPUT -i eth0 -p tcp -m tcp --dport 53 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 80 -m tcp -m state --state NEW -m recent --set --name WEB_80 --mask 255.255.255.255 --rsource -j ACCEPT
-A INPUT -p tcp -m tcp --dport 80 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 443 -m tcp -m state --state NEW -m recent --set --name WEB_443 --mask 255.255.255.255 --rsource -j ACCEPT
-A INPUT -p tcp -m tcp --dport 443 -j ACCEPT
-A INPUT -i eth0 -p udp -m limit --limit 6/hour -j LOG --log-prefix "IPTABLES UDP-IN: "
-A INPUT -i eth0 -p udp -j DROP
-A INPUT -i eth0 -p icmp -m limit --limit 6/hour -j LOG --log-prefix "IPTABLES ICMP-IN: "
-A INPUT -i eth0 -p icmp -j DROP
-A INPUT -i eth0 -p tcp -m limit --limit 6/hour -j LOG --log-prefix "IPTABLES TCP-IN: "
-A INPUT -i eth0 -p tcp -j DROP
-A INPUT -i eth0 -m limit --limit 6/hour -j LOG --log-prefix "IPTABLES PROTOCOL-X-IN: "
-A INPUT -i eth0 -j DROP
-A FORWARD -i lo -j ACCEPT
-A FORWARD -o lo -j ACCEPT
-A FORWARD -i incusbr0 -o eth0 -j ACCEPT
-A FORWARD -i eth0 -o incusbr0 -j ACCEPT
-A FORWARD -i lxcbr0 -o eth0 -j ACCEPT
-A FORWARD -i eth0 -o lxcbr0 -j ACCEPT
-A FORWARD -i lxcbr0 -o incusbr0 -j ACCEPT
-A FORWARD -i incusbr0 -o lxcbr0 -j ACCEPT
-A OUTPUT -o lo -j ACCEPT
-A OUTPUT -s 147.79.115.130/32 -j ACCEPT
-A OUTPUT -s 10.175.0.254/32 -j ACCEPT
-A OUTPUT -s 10.0.3.1/32 -j ACCEPT
-A OUTPUT -o eth0 -p udp -m udp --sport 500 -j ACCEPT
-A OUTPUT -o eth0 -p udp -m udp --sport 4500 -j ACCEPT
-A OUTPUT -o eth0 -p tcp -m tcp --sport 50 -j ACCEPT
-A OUTPUT -o eth0 -p tcp -m tcp --sport 51 -j ACCEPT
-A OUTPUT -p udp -m udp --sport 53 -j LOG --log-prefix "OUTPUT-U-NAMED:"
-A OUTPUT -p tcp -m tcp --sport 53 -j LOG --log-prefix "OUTPUT-T-NAMED:"
-A OUTPUT -p tcp -m tcp --sport 80 -j ACCEPT
-A OUTPUT -p tcp -m tcp --sport 443 -j ACCEPT
-A OUTPUT -o eth0 -p udp -m limit --limit 6/hour -j LOG --log-prefix "IPTABLES UDP-OUT: "
-A OUTPUT -o eth0 -p udp -j DROP
-A OUTPUT -o eth0 -p icmp -m limit --limit 6/hour -j LOG --log-prefix "IPTABLES ICMP-OUT: "
-A OUTPUT -o eth0 -p icmp -j DROP
-A OUTPUT -o eth0 -p tcp -m limit --limit 6/hour -j LOG --log-prefix "IPTABLES TCP-OUT: "
-A OUTPUT -o eth0 -p tcp -j DROP
-A OUTPUT -o eth0 -m limit --limit 6/hour -j LOG --log-prefix "IPTABLES PROTOCOL-X-OUT: "
-A OUTPUT -o eth0 -j DROP
-A BLACK -m recent --set --name BLACKLIST --mask 255.255.255.255 --rsource -j DROP
-A CHECK_GRE -m recent --update --seconds 86400 --reap --name BLACKLIST --mask 255.255.255.255 --rsource -j DROP
-A CHECK_GRE -m recent --update --seconds 60 --reap --hitcount 3 --name TIMER --mask 255.255.255.255 --rsource -j BLACK
-A CHECK_GRE -m recent --set --name TIMER --mask 255.255.255.255 --rsource -j ACCEPT
-A syn-flood -m limit --limit 1/sec --limit-burst 4 -j RETURN
-A syn-flood -j DROP
COMMIT
# Completed on Mon Aug 10 19:25:48 2026
# Generated by iptables-save v1.8.11 (nf_tables) on Mon Aug 10 19:25:48 2026
*nat
:PREROUTING ACCEPT [887634:57665895]
:INPUT ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
:POSTROUTING ACCEPT [815114:57246674]
-A PREROUTING -d 147.79.115.130/32 -p udp -m udp --dport 53 -j DNAT --to-destination 10.175.0.1:53
-A PREROUTING -d 147.79.115.130/32 -p tcp -m tcp --dport 53 -j DNAT --to-destination 10.175.0.1:53
-A POSTROUTING -s 10.175.0.1/32 -o eth0 -j MASQUERADE
-A POSTROUTING -s 10.175.0.2/32 -o eth0 -j MASQUERADE
-A POSTROUTING -s 10.175.0.10/32 -o eth0 -j MASQUERADE
-A POSTROUTING -s 10.0.3.10/32 -o eth0 -j MASQUERADE
COMMIT
# Completed on Mon Aug 10 19:25:48 2026
