Grupo de Usuarios de Tecnologías Libres

låzaro escribió: PRIMEROS PASOS CON IPTABLES

Iptables se caracteriza por ser famoso debido a su grado de complejidad; pero realmente, más que complejo, iptables es simplemente "diferente".

Un cortafuegos de iptables es un script. Iptables toma instrucciones una a una hasta crear un conjunto de reglas que serán un cortafuegos. Dicho cortafuegos se carga dentro del kernel y funciona dándole instrucciones de todo lo que se mueva por la tarjeta de red al stack TCP/IP e incluso a niveles más bajos.

Veamos un ejemplo teórico:

En la manigua, los animales hicieron una fiesta y contrataron a un informático de portero. Este resolvió el problema con un cortafuegos.

Queremos dejar pasar a los conejos, a las jutías y a los chivos; pero no a los perros jíbaros ni a los ladrones de ganado.

Podríamos hacer un cortafuegos que impida el paso de los perros jíbaros y los ladrones, pero podría aparecer un sijú platanero, que si bien no es peligroso es bastante molesto. Entonces mejor hagamos un cortafuegos que impida el paso de TODO lo que NO se desee. La semántica sería así:

paso a las jutías
paso a los conejos
paso a los chivos
NO PASA NADIE SIN INVITACIÓN

Cuando vengan los jíbaros, se prueba DE ARRIBA HACIA ABAJO

jíbaro ¿es una jutía? => falso | Acción: no pasa
jíbaro ¿es un conejo? => falso | Acción: no pasa
jíbaro ¿es un chivo? => falso | Acción: no pasa
jíbaro ¿TIENE INVITACIÓN? => falso | Acción: no pasa

Finalmente el perro jíbaro pasó por todas las ACL y ninguna lo dejó pasar. Por tanto, ¡NO PASÓ!

Entonces viene un Conejo

conejo ¿es una jutía? => falso | Acción: no pasa
conejo ¿es un conejo? => verdadero | Acción: pasa

El conejo coincidió como verdadero en la segunda línea y el cortafuegos lo dejo pasar.

Una vez que una regla coincide, el resto de las reglas no se prueban. Nuestro cortafuegos se detendrá donde encuentre una coincidencia verdadera. O sea, donde te deje pasar, no te hará mas pruebas. Oficialmente el objeto probado estará FUERA de la evaluación del cortafuegos.

Pero quizás, algún conejo ya entró, pero quiera salir un momento para ir al baño o buscar a su coneja y volver a entrar. Entonces el cortafuegos debe tener una regla que diga:

"El que ya haya entrado puede salir y volver a entrar solo o con un acompañante". Entonces nuestro cortafuegos dice:

paso al que ya haya entrado, con su acompañante
paso a las jutías
paso a los conejos
paso a los chivos
NO PASA NADIE SIN INVITACIÓN

De esta forma los que ya hallan entrado, pueden entrar y salir fácilmente...

Bueno pero, ¿como sería eso en iptables? Sencillo:

La fiesta antes mencionada era en el bosque, y la puerta para entrar es una interfaz de red. La interfaz se llama "eth0" Primero, es una bonita costumbre poner algo que limpie. Es bueno baldear el salón antes de recibir a los invitados:

Código: Seleccionar todo

iptables -F
iptables -X

Lo siguiente es declarar las políticas por defecto.

Si no estás invitado: ¡BAJANDO, no queremos que entres por ninguna puerta!

Código: Seleccionar todo

iptables -P INPUT DROP

Además, a menos que puntualmente se diga lo contrario, todo el mundo puede salir:

Código: Seleccionar todo

iptables -P OUTPUT ACCEPT

Lo próximo es dar al personal de servicio acceso local a todas las áreas, o no habrá quien atienda a los invitados:

Código: Seleccionar todo

iptables -A INPUT -i lo -j ACCEPT

Aquellos invitados que hayan entrado una vez por la puerta principal, pueden seguir entrando, solos o con acompañantes:

Código: Seleccionar todo

iptables -A INPUT -i eth0 -m state --state ESTABLISHED,RELATED -j ACCEPT

Los invitados pueden pasar por la puerta principal al servidor web:

Código: Seleccionar todo

iptables -A INPUT -i eth0 -p tcp --dport www -j ACCEPT

Dejaremos que pasen también al servidor de correo:

Código: Seleccionar todo

iptables -A INPUT -i eth0 -p tcp --dport smtp -j ACCEPT
iptables -A INPUT -i eth0 -p tcp --dport pop3 -j ACCEPT
iptables -A INPUT -i eth0 -p tcp --dport imap -j ACCEPT

Y también a los mismos protocolos de correos, pero por SSL:

Código: Seleccionar todo

iptables -A INPUT -i eth0 -p tcp --dport smtps -j ACCEPT
iptables -A INPUT -i eth0 -p tcp --dport pop3s -j ACCEPT
iptables -A INPUT -i eth0 -p tcp --dport imaps -j ACCEPT

Nuestra maquina (la del administrador con ip 10.0.0.15), puede hacerle SSH al servidor, pero solo esa:

Código: Seleccionar todo

iptables -A INPUT -i eth0 -p tcp -s 10.0.0.15 --dport 22 -j ACCEPT

Con esto, tenemos un cortafuegos NO permisivo. Ni si quiera ping se le puede hacer al servidor que corre ese sencillo cortafuegos...

103 escribió:Hace un tiempo vi esta homología y, la verdad literalmente me cagué de la risa.

rdieguez escribió:Pues mira como me ha quedado.

-A INPUT -j DROP
-A OUTPUT -j ACCEPT

-P INPUT DROP
-P OUTPUT ACCEPT